ConnectWise Cloud Backup（前身為 SkyKick）的應用程式憑證遭到入侵後，攻擊者利用 Microsoft Graph 存取權杖進入多個客戶的 Microsoft 365 租用戶。Huntress 確認有 173 個合作夥伴及客戶租用戶出現未授權登入，但這個數字不代表 173 個租用戶都已確認資料遭竊。整體影響範圍，以及原始憑證如何外洩，目前仍不明朗。169

攻擊者如何取得跨租用戶存取權

Microsoft 將此事件描述為供應鏈攻擊：攻擊者入侵了受信任的 OAuth 應用程式。客戶先前已授權多租用戶版的 Cloud Backup 應用程式在各自的 Microsoft 365 環境中運作；調查人員指出，攻擊者利用這些既有授權，在不同租用戶取得存取權杖。相關權限包括範圍廣泛的目錄存取權，例如 Directory.ReadWrite.All。915

Huntress 的通報數字從 10 月 16 日 19:00 UTC 的 162 個租用戶，增加至後續更新中的 173 個。這些數字代表確認出現未授權登入，並非最終受影響組織總數，也不能證明每個租用戶的資料都遭到讀取或竊取。169

時間線與可疑 IP 位址

Huntress 觀察到，Cloud Backup 應用程式在 10 月 15 日 06:13 至 08:34 UTC 間，從 144.172.64[.]128 取得 Microsoft Graph 權杖。應用程式在租用戶間快速切換，顯示活動可能由程式化方式執行。Huntress 也指出，同一個 IP 位址曾在 10 月 13 日及 14 日，對四個律師事務所租用戶進行密碼噴灑攻擊，但未成功登入。這些較早的嘗試，並不能證明 Cloud Backup 憑證是如何遭到入侵的。1520

為什麼使用者 MFA 沒能擋下登入

這次活動是以應用程式身分，也就是服務主體（service principal）進行驗證，而不是以個別使用者帳號登入。因此，使用者 MFA 並未參與這個應用程式登入流程；這和攻擊者繞過使用者帳號的 MFA 是不同情況。711

應用程式既有權限理論上可能觸及 Microsoft 365 的郵件、OneDrive、SharePoint、Teams 及目錄資料，但「有權限」不等於「已讀取」。Todyl 在檢視的九個租用戶中通報了未授權登入；這項範圍有限的觀察，無法說明其他租用戶發生了什麼事。61929

另有跡象顯示攻擊者試圖維持存取

Huntress 在近 50 個租用戶中發現目錄角色遭自行指派的情況。在一個觀察到的案例裡，一個 Teams 管理應用程式將自己加入「全域管理員」（Global Administrator）角色，並在其他應用程式中新增憑證，包括一家 MSP（託管服務供應商）的管理工具應用程式，以及 Huntress 的應用程式。這些新增的憑證可能形成與原始 Cloud Backup 整合之外的其他存取途徑。19

因此，單純停用廠商整合，不一定能清除入侵期間留下的所有變更。管理員也應檢查是否有陌生的應用程式密鑰，以及不預期的角色指派。113

備份資料目前已知與未知的部分

ConnectWise 表示，目前沒有跡象顯示合作夥伴的備份資料曾遭存取，並稱既有備份檔案會在服務恢復後提供使用。這項說明針對的是備份檔案，並不能證明客戶 Microsoft 365 環境中的資料未受影響。相關更新也沒有公布服務恢復日期。419

ConnectWise 在 10 月 17 日的更新中表示，已撤銷受影響應用程式連線所使用的憑證，並使 Cloud Backup 共用憑證失效。服務中斷及憑證處置屬於圍堵措施，並非事件影響範圍的最終結論。3

目前的公開資訊仍無法確認受影響組織總數、資料遭竊的程度，以及原始憑證遭入侵的原因。不同資安公司的調查涵蓋不同租用戶，個別公司的觀察結果不應被視為所有受影響環境的完整全貌。1919

Microsoft 365 管理員可以採取哪些行動

• 先停用受影響的應用程式，並保留調查證據。 Huntress 建議受影響組織停用該應用程式。刪除前，應先檢視相關登入、角色及憑證變更；重新連線前，請依照最新的廠商通知及事件應變指引處理。913
• 檢查 Cloud Backup 以外的應用程式。 留意 10 月 13 日之後新增的異常密鑰或憑證，以及不熟悉的角色指派。廠商更換憑證或暫停服務，不會自動移除攻擊者加到其他應用程式中的憑證。113
• 將應用程式登入與使用者登入分開調查。 由於這次活動使用應用程式身分，只檢查使用者 MFA 事件，並不足以判斷是否發生相關存取。711
• 不要把缺少稽核事件當成沒有存取的證明。 部分 Microsoft Graph 目錄讀取操作可能不會留下目錄稽核紀錄，因此沒有相關事件，不能可靠地證明未發生資料存取。79

這起事件提醒管理員：受信任的第三方整合可能在多個客戶租用戶中擁有廣泛存取權。即使尚未證實資料遭竊，已確認的應用程式登入與通報的持續存取跡象，仍值得立即調查。915

ConnectWise Cloud Backup（前身為 SkyKick）的應用程式憑證遭到入侵後，攻擊者利用 Microsoft Graph 存取權杖進入多個客戶的 Microsoft 365 租用戶。Huntress 確認有 173 個合作夥伴及客戶租用戶出現未授權登入，但這個數字不代表 173 個租用戶都已確認資料遭竊。整體影響範圍，以及原始憑證如何外洩，目前仍不明朗。169

攻擊者如何取得跨租用戶存取權

Microsoft 將此事件描述為供應鏈攻擊：攻擊者入侵了受信任的 OAuth 應用程式。客戶先前已授權多租用戶版的 Cloud Backup 應用程式在各自的 Microsoft 365 環境中運作；調查人員指出，攻擊者利用這些既有授權，在不同租用戶取得存取權杖。相關權限包括範圍廣泛的目錄存取權，例如 Directory.ReadWrite.All。915

Huntress 的通報數字從 10 月 16 日 19:00 UTC 的 162 個租用戶，增加至後續更新中的 173 個。這些數字代表確認出現未授權登入，並非最終受影響組織總數，也不能證明每個租用戶的資料都遭到讀取或竊取。169

時間線與可疑 IP 位址

Huntress 觀察到，Cloud Backup 應用程式在 10 月 15 日 06:13 至 08:34 UTC 間，從 144.172.64[.]128 取得 Microsoft Graph 權杖。應用程式在租用戶間快速切換，顯示活動可能由程式化方式執行。Huntress 也指出，同一個 IP 位址曾在 10 月 13 日及 14 日，對四個律師事務所租用戶進行密碼噴灑攻擊，但未成功登入。這些較早的嘗試，並不能證明 Cloud Backup 憑證是如何遭到入侵的。1520

為什麼使用者 MFA 沒能擋下登入

這次活動是以應用程式身分，也就是服務主體（service principal）進行驗證，而不是以個別使用者帳號登入。因此，使用者 MFA 並未參與這個應用程式登入流程；這和攻擊者繞過使用者帳號的 MFA 是不同情況。711

應用程式既有權限理論上可能觸及 Microsoft 365 的郵件、OneDrive、SharePoint、Teams 及目錄資料，但「有權限」不等於「已讀取」。Todyl 在檢視的九個租用戶中通報了未授權登入；這項範圍有限的觀察，無法說明其他租用戶發生了什麼事。61929

另有跡象顯示攻擊者試圖維持存取

Huntress 在近 50 個租用戶中發現目錄角色遭自行指派的情況。在一個觀察到的案例裡，一個 Teams 管理應用程式將自己加入「全域管理員」（Global Administrator）角色，並在其他應用程式中新增憑證，包括一家 MSP（託管服務供應商）的管理工具應用程式，以及 Huntress 的應用程式。這些新增的憑證可能形成與原始 Cloud Backup 整合之外的其他存取途徑。19

因此，單純停用廠商整合，不一定能清除入侵期間留下的所有變更。管理員也應檢查是否有陌生的應用程式密鑰，以及不預期的角色指派。113

備份資料目前已知與未知的部分

ConnectWise 表示，目前沒有跡象顯示合作夥伴的備份資料曾遭存取，並稱既有備份檔案會在服務恢復後提供使用。這項說明針對的是備份檔案，並不能證明客戶 Microsoft 365 環境中的資料未受影響。相關更新也沒有公布服務恢復日期。419

ConnectWise 在 10 月 17 日的更新中表示，已撤銷受影響應用程式連線所使用的憑證，並使 Cloud Backup 共用憑證失效。服務中斷及憑證處置屬於圍堵措施，並非事件影響範圍的最終結論。3

目前的公開資訊仍無法確認受影響組織總數、資料遭竊的程度，以及原始憑證遭入侵的原因。不同資安公司的調查涵蓋不同租用戶，個別公司的觀察結果不應被視為所有受影響環境的完整全貌。1919

Microsoft 365 管理員可以採取哪些行動

• 先停用受影響的應用程式，並保留調查證據。 Huntress 建議受影響組織停用該應用程式。刪除前，應先檢視相關登入、角色及憑證變更；重新連線前，請依照最新的廠商通知及事件應變指引處理。913
• 檢查 Cloud Backup 以外的應用程式。 留意 10 月 13 日之後新增的異常密鑰或憑證，以及不熟悉的角色指派。廠商更換憑證或暫停服務，不會自動移除攻擊者加到其他應用程式中的憑證。113
• 將應用程式登入與使用者登入分開調查。 由於這次活動使用應用程式身分，只檢查使用者 MFA 事件，並不足以判斷是否發生相關存取。711
• 不要把缺少稽核事件當成沒有存取的證明。 部分 Microsoft Graph 目錄讀取操作可能不會留下目錄稽核紀錄，因此沒有相關事件，不能可靠地證明未發生資料存取。79

這起事件提醒管理員：受信任的第三方整合可能在多個客戶租用戶中擁有廣泛存取權。即使尚未證實資料遭竊，已確認的應用程式登入與通報的持續存取跡象，仍值得立即調查。915