米ソフトウェア企業のConnectWiseは、何者かが同社のアプリケーションIDを使って組織のMicrosoft 365アカウントに侵入したセキュリティインシデントへの対応に追われています。
侵入者が悪用したのは、ConnectWise Cloud Backup(旧SkyKick)アプリケーションの侵害された認証情報です。
これを受けて同社は、バックアップサービスを一時停止しました。Cloud Backupと連携しているSaaS Security(監視・アラート)とCloud Management(ユーザー・ライセンス管理)の各サービスも停止の対象です。
インシデントの調査は、外部の専門家の協力を得て続いています。
サービスの仕組み
ConnectWiseは製品の大半をマネージドサービスプロバイダー(MSP)に販売しています。MSPは、中小企業が自社のテクノロジーの運用・管理を委託する外部のIT企業です。同社によると、プラットフォームを利用するMSPは10万社を超え、1社で数十から数百の顧客組織を担当することもあります。
2024年にSkyKickとともにConnectWiseが取得したCloud Backupは、MSPが顧客のデータを守るために使うツールの一つです。メール、OneDriveやSharePointのファイル、Teamsのチャットのコピーを保管し、誤って削除した場合やランサムウェア攻撃を受けた場合に復元できるようにします。
そのために、各顧客の管理者は、Microsoftのアイデンティティシステムである Microsoft Entra IDを通じて、ソフトウェアに幅広い権限を付与します。バックアップアプリはその組織のMicrosoft 365アカウント内でアプリケーションID(「サービスプリンシパル」とも呼ばれます)として存在し、ユーザーがサインインしなくてもデータを読み書きできます。
Huntressによると、この認証情報は、アプリにMicrosoft 365アカウントへのアクセスを許可したすべての組織で有効です。認証情報を握った者は、バックアップサービスになりすましてそれらのどのアカウントにもサインインでき、顧客があらかじめ承認したアクセス権をそのまま引き継げます。
ベンダー側で1件の侵害が起きただけで、多数のMSPの顧客に一斉に影響が及びました。Microsoftがこのインシデントをサプライチェーン攻撃だと説明しているのは、このためです。
Huntressの調査で判明したこと
中小企業を対象に侵入の兆候を監視するサイバーセキュリティ企業のHuntressは、少なくとも162のMicrosoft 365テナントへの不正アクセスを確認しました。
同社によると、盗まれた認証情報は10月15日の06:13から08:34(UTC)にかけて使われ、144.172.64[.]128からバックアップアプリとしてサインインしていました。このアドレスはホスティング事業者のもので、アプリが通常動作するMicrosoftのクラウド基盤とは異なります。同じアドレスは10月13日と14日にも、4つの法律事務所に対するパスワード推測の試行に使われましたが、成功しませんでした。
サインインは、顧客アカウントを数秒おきに一定の順序で渡り歩く形で行われていました。Huntressは、標的リストに沿って動く自動化スクリプトの特徴だとみています。
研究者らは、Cloud Managementの一部であるConnectWiseの別のアプリケーションが、Huntressが監視する組織のうち約50組織で、自らに管理者ロール(大半はExchange管理者)を付与する動きも確認しました。これらのイベントのソフトウェア署名は、ConnectWise自身のアプリが使うものと一致します。このことから、攻撃者ではなく同社の自動処理によるものだと考えられます(ただし、ConnectWiseはこの点を確認していません)。
あるケースでは、明らかに悪意のある挙動がありました。本格的な一斉アクセスの数時間前に、Microsoft Teams向けのConnectWise Cloud Managementアプリが自らをグローバル管理者に昇格させました。その約5分後には、同じアカウント内の信頼されたアプリ2つに新しい認証情報を追加しています。2つとは、「MSP管理アプリケーションと、Huntress自身のアプリケーション(Huntress Security Platform)」です。
これらの認証情報は2028年まで有効に設定されていました。作成した者は、ConnectWiseのアプリが停止されても生き残る再侵入の手段を手にしたことになります。
活動は、確認された侵害より広範囲に及んでいる可能性があります。Huntressは、攻撃者のアドレスからのサインイン試行があったMicrosoft 365アカウントを1,000件近く見つけました。このうち300件以上は成功しています。この活動はホスティング事業者のアドレスではなく、Microsoft内部のクラウドネットワークから行われており、両者が同一の攻撃者によるものかどうかは、Huntressも特定できていません。
同じ日には、これとは別のより標的を絞った攻撃も起きていました。同じアドレスが、政策、国家安全保障、貿易、重要鉱物の分野にある16組織を狙ったものです。大半はConnectWise製品を使っていませんでした。
Huntressの研究者らは次のように指摘しています。「該当するConnectWiseのサービスプリンシパルがないテナントでは、アプリが存在しないため試行は失敗した」。攻撃者は、侵入したい特定の組織のリストに沿って動いていたとみられます。
何が盗まれたのか、そもそも盗まれたのかは、いまも不明です。Huntressが詳しく調べた1つのアカウントでは、メールやファイルへのアクセスの形跡は見つかりませんでした。ただし同社は、Microsoftがアプリによる一部の種類のデータ読み取りを記録しない点に注意を促しています。
ConnectWiseの説明
ConnectWiseは、問題を10月15日に発見し、その後、外部のフォレンジック企業に調査を依頼したと説明しています。
10月17日には、7つのアプリケーションID(バックアップアプリ、Cloud Managementの製品、同社に属する5つのアプリ)を無効化しました。あわせて、これらの接続に使う証明書を失効させ、共有されていたCloud Backupの認証情報を無効にしています。
ただし同社は、停止前に発行されたアクセストークンは有効期限が切れるまで使える可能性があると警告しています。また、同社のアプリを無効にしても、顧客アカウント内ですでに行われた変更は元に戻りません。攻撃者が別のIDを通じて作成した認証情報やロールなどのアクセス手段は、各組織が自力で見つけて削除する必要があります。
この作業を支援するため、ConnectWiseはMSP向けに技術調査・対処ガイドを公開しました。MSP自身のMicrosoft 365アカウントと、管理するすべての顧客アカウントで実施すべき確認項目を順に示しています。対象は、影響を受けたアプリの状態、サインイン記録と監査記録、認証情報、権限、管理者ロール、さらに隠れた再侵入の手段(侵害された他のIDや変更されたメールボックス設定など)です。
同社は、自社のサービスでは顧客の環境を把握できないため、この確認作業を自らは行えないとしています。また、リセラー、ディストリビューター、マーケットプレイス経由でサービスを販売しているパートナーには、各顧客のアカウントを実際に管理している担当者へガイドが確実に届くよう依頼しました。
Huntressも同様の対策を勧めています。ConnectWiseのアプリは削除せずに無効化する、アカウント内のすべてのアプリで10月13日以降に追加された認証情報がないか確認する、攻撃者のアドレスからのアクティビティをサービスプリンシパルのサインインログ(デフォルトのユーザーサインイン画面ではありません)で調べる、という内容です。
ConnectWiseによると、保管中のバックアップは暗号化され、隔離された状態が保たれており、アクセスされた形跡はありません。
一方で、サービスの停止は続いています。10月19日時点で、Cloud Backup、SaaS Security、Cloud Managementの各サービスは停止したままです。定期バックアップは実行されず、顧客はデータを復元できません。ConnectWiseは、復旧時期をまだ見通せないとしています。
ただし、重要な疑問は残ったままです。同社は次のように述べています。「調査により、侵害されたアプリケーションIDが特定された。製品の脆弱性が関与したかどうかは確認されておらず、認証情報が最初に漏えいした経緯も調査中だ」。
翻訳元: https://www.helpnetsecurity.com/2026/10/19/connectwise-cloud-backup-suspended-security-incident/
