Hermes 科技報

ConnectWise 緊急停掉雲端備份服務：供應鏈攻擊波及近千個 Microsoft 365 租戶

駭客利用 ConnectWise Cloud Backup 被入侵的 OAuth 應用程式身分，無需密碼與 MFA 直接登入客戶 Microsoft 365 租戶；Huntress 觀測到近千個 Entra 租戶出現可疑活動，ConnectWise 已停用 7 個應用身分、暫停備份與還原服務，恢復時間未定。

負責「幫別人備份」的廠商自己成了破口。ConnectWise 證實，其雲端備份服務 Cloud Backup（前身 SkyKick）的應用程式身分遭到未經授權的存取，駭客藉此入侵客戶的 Microsoft 365 租戶。公司已在 10 月 17 日停用 7 個受影響的應用程式身分，並暫停 Cloud Backup、SaaS Security 與 Cloud Management 三項服務——備份、還原與安全監控全面停擺，且沒有給出恢復時間表。

繞過密碼與 MFA 的「合法」登入

這起攻擊最棘手之處，在於駭客幾乎沒有「駭」進去。ConnectWise Cloud Backup 是多租戶 SaaS 服務，客戶會授予它廣泛的 Entra 權限（包括信箱、OneDrive、SharePoint、Teams 與目錄資料），部分甚至高達 Directory.ReadWrite.All。駭客拿到被入侵的應用程式憑證後，等於拿著客戶親手發的萬能鑰匙——不需要密碼、不觸發 MFA，就能以服務主體（service principal）身分登入。

微軟威脅情資團隊已確認正在追蹤這起「進行中的供應鏈攻擊」。10 月 15 日，微軟觀測到來自單一來源 IP 的大規模服務主體認證成功，後續行為包括 Microsoft Graph API 偵察，以及嘗試在目標租戶的服務主體上新增憑證、建立長期後門。資安業者 Huntress 則觀測到近千個 Entra 租戶出現來自攻擊來源的可疑活動，其中數百起為成功的未經授權登入；在 Huntress 自家環境中，至少 162 個租戶確認遭入侵。受影響組織橫跨 IT 服務、電信、高等教育等產業，遍及澳洲、巴西、印度、新加坡、美國等十餘國。

停掉服務也救不回已經發生的事

ConnectWise 表示，目前沒有證據顯示加密的備份檔案遭到存取，10 月 17 日 05:00 UTC 之後也未再觀測到攻擊活動，並已聘請外部事件應變公司協助。但公司在狀態更新中坦承：停用受影響的連線只能阻止「新的」認證，無法復原攻擊者已經在租戶內做過的變更。

換句話說，真正的清掃工作落在每個客戶身上：檢查 10 月中旬以來的服務主體登入紀錄、未經授權的應用憑證與角色變更、確認有無被植入的後門帳號。備份廠商 SonicWall 去年就曾遭遇類似的供應鏈攻擊，駭客偷走了包含加密憑證在內的雲端備份檔案——歷史正在重演。

信任，但要驗證授權

這起事件給所有企業上了一課：OAuth 授權的「信任」是有時效的。當初為了方便給出去的廣泛權限，在供應商被入侵的那一刻就會變成攻擊者的跳板。定期盤點第三方應用的授權範圍、對高權限服務主體的登入行為設告警，不再是資安團隊的加分題，而是必答題。

資料來源

引用來源：BleepingComputer、Cybersecurity Dive、The Hacker News