複数のセキュリティ企業によると、脅威アクターがConnectWiseのCloud Backup製品に関連する認証情報を使い、Microsoft 365テナントへの認証に成功していました。ただし、下流にあたる顧客環境がどこまで侵害されたのかは、まだ明らかになっていません。
ConnectWiseは10月16日を皮切りに、週末にかけて、サプライチェーンインシデントの可能性と、同社製品のConnectWise Cloud Backup（旧SkyKick）に関する詳細を公表しました。主にマネージドサービスプロバイダー（MSP）を顧客とする同社は、公開したステータス投稿の中で、10月14日に「ConnectWise Cloud Backupに関連するアプリケーションIDへの不正アクセス」を確認したと説明しています。調査は現在も続いています。同社はこのインシデントを受けて10月17日、パートナーと顧客に対するCloud Backupを無効化しました。さらに週末には、調査と対処を進めるため、SaaS SecurityとCloud Managementも無効にしています。バックアップ、リストア、SaaS Securityの監視、Cloud Managementの各機能は、いずれも利用できない状態が続いています。ConnectWiseはインシデントレスポンスの専門企業にも調査を依頼したと述べています。現時点では、攻撃チェーンの一部として脆弱性が悪用されたとは確認していません。
こうした慎重な対応には理由があります。ConnectWise Cloud Backupは、Microsoft 365のデータを対象とするSaaS型のバックアップ製品です。そのため、導入する組織は365環境とEntra環境の中で、広範な権限を付与する必要があります。この製品は通常、Exchangeのメールボックス、OneDrive、SharePoint、Teamsなど、同プラットフォームに紐づく機密性の高いワークロードにアクセスできます。
影響範囲をめぐりConnectWiseと研究者の見解が分かれる
インシデントに関する公式の情報は、いまのところ限られています。認証情報が最初にどう流出したのかは調査中で、ConnectWiseは特定の攻撃者による侵害だとも断定していません。
一方で同社は、影響を受けたアプリケーション接続で使われていた証明書を失効させたと説明しています。影響を受けた共有のCloud Backup認証情報も、すでに無効になっています。さらに、これまでにインシデントとの関連が判明した認証情報をローテーションするか、侵害されたIDを無効化したということです。
ステータス投稿には、顧客向けの侵害指標（IoC）が掲載されています。同社は、自社のMicrosoft 365テナントに加え、管理している各顧客テナントも確認するよう推奨しています。休眠状態のSkyKick接続があるテナントも対象です。
今回のインシデントで特異なのは、ConnectWiseと第三者の研究者との間で、とりわけ下流への影響をめぐる報告に食い違いがあることです。本稿執筆時点で、ConnectWiseの公表投稿は下流への影響を調査中としており、「下流の顧客が侵害されたことは確認していません」と述べています。
この食い違いは、各社が「侵害」をどう定義しているかの違いに起因している可能性があります。ConnectWiseは、顧客のMicrosoft 365環境を独自に確認する手段がなく、個々のテナントで不正な操作があったかどうかは判断できないと繰り返し説明しています。
同社のブログ投稿には、次のように書かれています。「保存されたアーカイブに関する調査結果は、稼働中のMicrosoft 365環境で起きた可能性のある活動とは別のものです。Cloud Backupには、特定のパートナーや顧客のテナントで不正な活動があったかどうかを当社が独自に判断するために必要な、下流のセキュリティ可視性はありません」。
これに対し、セキュリティ企業のHuntressとTodylは、それぞれのセキュリティブログで次のように主張しました。ConnectWiseのアプリケーションの認証情報を使って顧客テナントへの認証に成功した時点で、データへのアクセスを証明できるかどうかにかかわらず、それ自体が下流への影響にあたるというのです。つまり、ConnectWiseは両社の調査結果に明確に反論しているわけではなく、発信するメッセージをより慎重な表現にとどめているといえます。
第三者の研究者は下流への影響が発生したと主張
10月16日、HuntressのJonathan Semon氏はブログ投稿で、ConnectWise Cloud Backupに属するMicrosoft 365の認証情報、具体的にはAPIシークレットが侵害されたと明らかにしました。同氏は「Huntressは、脅威アクターがExchange Online、Microsoft Teams、SharePoint Online向けのConnectWise Cloud Managementアプリケーション、Cloud Backup、MS Graph、Partner Centerを悪用したと、高い確度で判断している」と書いています。
Semon氏によると、Huntressは2回に分けて確認された活動の中で、不正な活動に関連するIPアドレス（144.172.64[.]128）からのサインインを、1,000を超えるEntraテナントで特定しました。そのうち「300以上でサインインが成功した」といいます。
Semon氏はDark Readingの取材に対し、Huntressはまず多数の組織に対する広範なスイープを確認し、その後に政策、国家安全保障、貿易、重要鉱物の各分野の組織を狙った「小規模で、より手動によるとみられるスイープ」を確認したと説明しました。この2回目のスイープは失敗に終わったということです。
また、2つのテナントでは、ConnectWiseのアプリケーションが、Microsoft 365アプリケーションにおける最高レベルの権限（グローバル管理者）を自らに付与していました。続いて他のアプリケーションの認証情報を追加し、元のConnectWiseのキーに頼らずに再侵入できる経路を攻撃者が確保していたのです。Semon氏は「だからこそ、影響を受けたアプリを無効化するだけでなく、認証情報と管理者ロールも見直すよう推奨している」と話します。
Huntressの中心的なメッセージは、影響を受けたConnectWiseのアプリは安全が証明されるまで危険なものとみなし、永続化の痕跡を探すことです。顧客は、データの保持状況とリストアの選択肢についてConnectWiseに確認するとともに、認証情報に侵害の兆候がないかを手動で点検する必要があります。
テナント全体に及ぶ広範な侵害が現実の懸念に
Huntressは、このアプリが同意されているすべてのテナントで認証情報が通用すると指摘し、アプリの無効化を推奨しています（前述のとおり、ConnectWiseは影響を受けたアプリを当面無効にしています）。一方、Todylは顧客に対し、侵害を前提に対応するよう明確に求めました。Nicholas Koken氏は、次のように書いています。「506e08f9-6e9a-4da4-942b-a099a03644ae［ConnectWise Cloud Backupアプリケーション（旧SkyKick Backup）のMicrosoft EntraアプリケーションID］を有効にしているテナントは、すべて侵害されたと想定できる」。
Todylの広報担当者はDark Readingに対し、今回のインシデントで最も懸念される点は「攻撃者がSkyKickのパートナーテナントに、テナントIDの厳密な順序でアクセスしていたこと。アプリが一度もインストールされていないテナントも含まれていた」ことだと語りました。
Todylによると、これは非常に重要な事実です。広報担当者は次のように説明します。「攻撃者が、SkyKickパートナーテナントの事前に作成されたリストを持っていたことを示している。ベンダー側の記録から入手した可能性が高い。ConnectWiseは、テナント一覧を含むパートナーのデータが流出したかどうかを、まだ明らかにしていない」。
さらに同担当者は、Todylが監視しているテナントの範囲では、MSPを特に狙ったこの活動は偵察であり、盗んだ認証情報が使えるかどうかを確かめる目的だったとみています。
ConnectWiseは今朝共有した声明で、改めて次のように述べました。「緩和策の実施後、当社が監視している環境では、成功した脅威活動は確認していません」。
同社は「現時点で、Cloud Backupのパートナーのバックアップデータが侵害されたことを示す兆候はありません。特定された侵害済みの認証情報とIDには対処済みで、引き続き認証の監視、権限の見直し、フォレンジック分析を続けています」としています。
このアプリケーションIDを持つすべてのデータが侵害されたと想定すべきかどうかにかかわらず、第三者のセキュリティ企業2社の基本的な助言は共通しています。関連するアプリケーションが無効化されていることを確認し、侵害指標を調べ、必要に応じてConnectWiseと連携することです。
Dark ReadingはMicrosoftにコメントを求めましたが、掲載時点で回答はありませんでした。
