AnswersPublished23 sources
ConnectWise Cloud Backup saldırısında 173 Microsoft 365 tenant’ında yetkisiz oturum açma bildirildi
Huntress, ConnectWise Cloud Backup uygulamasının ele geçirilen kimlik bilgileriyle 173 Microsoft 365 tenant’ında yetkisiz oturum açma tespit etti; bu sayı her tenant’tan veri alındığını kanıtlamıyor. Oturumlar kullanıcı hesabı yerine uygulama kimliğiyle açıldığı için kullanıcı MFA’sı bu kimlik doğrulama akışında dev...
YayımlayanGPT-6 Luna ile düzenlendiGörseller GPT Image 2 ile oluşturuldu
Research answer
Key takeaways
- Huntress, ConnectWise Cloud Backup uygulamasının ele geçirilen kimlik bilgileriyle 173 Microsoft 365 tenant’ında yetkisiz oturum açma tespit etti; bu sayı her tenant’tan veri alındığını kanıtlamıyor.
- Oturumlar kullanıcı hesabı yerine uygulama kimliğiyle açıldığı için kullanıcı MFA’sı bu kimlik doğrulama akışında devreye girmedi.
- Yöneticilerin etkilenen uygulamaları devre dışı bırakıp diğer uygulamalara eklenmiş olabilecek şüpheli kimlik bilgilerini ve rol atamalarını incelemesi öneriliyor.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
ConnectWise Cloud Backup’ın (eski adıyla SkyKick) ele geçirilen bir kimlik bilgisi, Microsoft 365 müşteri ortamlarında uygulama erişim belirteçleri almak için kullanıldı. Huntress, 173 iş ortağı ve müşteri tenant’ında yetkisiz oturum açma tespit etti. Bu rakam, 173 ortamın tamamında veri alındığının doğrulandığı anlamına gelmiyor. Olayın toplam kapsamı ve ilk kimlik bilgisinin nasıl ele geçirildiği henüz bilinmiyor. 1
6
9
Saldırganlar güvenilen bir uygulamanın erişimini kullandı
Microsoft olayı, güvenilen bir OAuth uygulamasının ele geçirilmesini içeren bir tedarik zinciri saldırısı olarak tanımladı. Müşteriler, Cloud Backup’ın kendi Microsoft 365 ortamlarında çalışabilmesi için çok kiracılı uygulamaya önceden izin vermişti. Microsoft’a göre saldırgan, bu mevcut izinlerden yararlanarak farklı tenant’larda erişim belirteçleri alabildi. Bunlar arasında Directory.ReadWrite.All gibi geniş kapsamlı dizin izinleri de bulunuyordu. 9
15
Huntress’in bildirdiği yetkisiz oturum açma sayısı, 16 Ekim saat 19.00 UTC’de 162 iken sonraki güncellemede 173’e çıktı. Bu sayı doğrulanmış oturum açma bulgularını gösteriyor; etkilenen kuruluşların nihai sayısını ya da her tenant’tan bilgi alındığını değil. 1
6
9
Zaman çizelgesi ve IP adresi
Huntress, 15 Ekim 2026’da 06.13–08.34 UTC arasında uygulamanın 144.172.64[.]128 IP adresinden Microsoft Graph erişim belirteçleri aldığını gözlemledi. Tenant’lar arasında hızlı geçiş yapılması, faaliyetin otomatikleştirilmiş olabileceğine işaret etti. Huntress ayrıca aynı IP adresinden 13 ve 14 Ekim’de dört hukuk bürosunun tenant’ına yönelik başarısız parola denemeleri bildirildi. Bu denemeler, Cloud Backup kimlik bilgisinin nasıl ele geçirildiğini göstermiyor. 1
5
20
Kullanıcı MFA’sı neden devreye girmedi?
Oturumlar tek tek kullanıcı hesaplarıyla değil, uygulama kimliğiyle—diğer adıyla hizmet sorumlusu (service principal)—açıldı. Bu nedenle kullanıcı MFA’sı söz konusu uygulama oturum açma akışının bir parçası değildi. Bu durum, bir saldırganın kullanıcı hesabındaki MFA’yı aştığı anlamına gelmiyor. 7
11
Uygulamanın mevcut izinleri; e-posta, OneDrive, SharePoint, Teams ve dizin verileri gibi Microsoft 365 kaynaklarına erişme olanağı sağlayabilirdi. Ancak bu erişim kapsamı, söz konusu kaynakların tümünün okunduğunun kanıtı değil. Todyl, incelediği dokuz tenant’ta yetkisiz oturum açma tespit etti; bu sınırlı inceleme, diğer tenant’larda ne yaşandığını ortaya koymuyor. 6
19
29
Bulgular ek erişim yollarına da işaret ediyor
Huntress, yaklaşık 50 tenant’ta kendisine dizin rolleri atayan uygulamalar tespit etti. Gözlemlenen örneklerden birinde Teams yönetimiyle ilgili bir uygulama kendisine Global Administrator rolü verdi ve bir MSP’nin yönetim aracı uygulaması ile Huntress uygulaması da dahil olmak üzere başka uygulamalara kimlik bilgileri ekledi. Bu bilgiler, ilk Cloud Backup bağlantısından ayrı erişim yolları oluşturabilir. 1
9
Bu nedenle yalnızca satıcı entegrasyonunu kapatmak, saldırı sırasında yapılmış olabilecek tüm değişiklikleri ortadan kaldırmayabilir. Yöneticilerin tanımadıkları uygulama sırlarını ve beklenmedik rol atamalarını da kontrol etmesi gerekiyor. 1
13
Yedekler hakkında ne biliniyor?
ConnectWise, iş ortağı yedekleme verilerine erişildiğine dair bir bulgu olmadığını ve hizmet yeniden açıldığında mevcut arşivlerin kullanılabileceğini söyledi. Bu açıklama yedekleme arşivleriyle ilgili; müşterilerin Microsoft 365 ortamlarındaki verilerin etkilenmediğini kanıtlamıyor. Bildirilen güncellemede hizmetin ne zaman geri yükleneceğine ilişkin bir tarih verilmedi. 4
19
ConnectWise, 17 Ekim’deki güncellemesinde etkilenen uygulama bağlantılarında kullanılan sertifikaları iptal ettiğini ve Cloud Backup için paylaşılan kimlik bilgilerini geçersiz kıldığını belirtti. Bunlar tehdidi sınırlamaya yönelik adımlar; olayın toplam etkisine ilişkin nihai bir değerlendirme değil. 3
Mevcut bilgiler, etkilenen kuruluşların toplam sayısını, varsa veri hırsızlığının boyutunu veya ilk kimlik bilgisinin nasıl ele geçirildiğini ortaya koymuyor. Güvenlik şirketlerinin incelemeleri de farklı tenant gruplarını kapsıyor; bir firmanın gözlemleri tüm ortamların eksiksiz tablosu olarak değerlendirilmemeli. 1
9
19
Microsoft 365 yöneticileri ne yapmalı?
- Kanıtları koruyarak etkilenen uygulamaları devre dışı bırakın. Huntress, etkilenen kuruluşlara uygulamayı kapatmalarını önerdi. İlgili oturum açma kayıtlarını, rol atamalarını ve kimlik bilgisi değişikliklerini incelemeden uygulamayı silmeyin; yeniden etkinleştirmeden önce güncel satıcı ve olay müdahale rehberliğini izleyin.
9
13
- Cloud Backup dışındaki uygulamaları da inceleyin. 13 Ekim’den bu yana eklenmiş olabilecek beklenmedik sırları ve kimlik bilgilerini, ayrıca şüpheli rol atamalarını kontrol edin. Satıcı hizmetinin askıya alınması veya kimlik bilgilerinin yenilenmesi, başka uygulamalara saldırgan tarafından eklenmiş bilgileri kendiliğinden kaldırmaz.
1
- Uygulama oturumlarını kullanıcı oturumlarından ayrı araştırın. Bu faaliyette uygulama kimliği kullanıldığı için, yalnızca kullanıcı MFA kayıtlarının temiz görünmesi olayı değerlendirmek için yeterli değildir.
7
- Denetim kaydı yokluğunu erişim olmadığına dair kanıt saymayın. Microsoft Graph üzerinden yapılan bazı dizin okuma işlemleri dizin denetim kayıtlarında görünmeyebilir. Bu yüzden kayıt bulunmaması, erişim ya da keşif faaliyeti yaşanmadığını kesin olarak göstermez.
Bu olayın öne çıkardığı risk, güvenilen bir entegrasyonun birden fazla müşteri ortamında geniş erişime sahip olabilmesi. Her tenant’tan veri çalındığı kanıtlanmış değil; ancak doğrulanan uygulama oturumları ve bildirilen kalıcılık girişimleri, ilgili ortamların incelenmesini gerektiriyor. 9
15
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "ConnectWise Cloud Backup saldırısında 173 Microsoft 365 tenant’ında yetkisiz oturum açma bildirildi"?
Huntress, ConnectWise Cloud Backup uygulamasının ele geçirilen kimlik bilgileriyle 173 Microsoft 365 tenant’ında yetkisiz oturum açma tespit etti; bu sayı her tenant’tan veri alındığını kanıtlamıyor.
What are the key points to validate first?
Huntress, ConnectWise Cloud Backup uygulamasının ele geçirilen kimlik bilgileriyle 173 Microsoft 365 tenant’ında yetkisiz oturum açma tespit etti; bu sayı her tenant’tan veri alındığını kanıtlamıyor. Oturumlar kullanıcı hesabı yerine uygulama kimliğiyle açıldığı için kullanıcı MFA’sı bu kimlik doğrulama akışında devreye girmedi.
What should I do next in practice?
Yöneticilerin etkilenen uygulamaları devre dışı bırakıp diğer uygulamalara eklenmiş olabilecek şüpheli kimlik bilgilerini ve rol atamalarını incelemesi öneriliyor.