セキュリティ · 2026年10月20日
ハッカーがConnectWiseの資格情報を悪用し、173のMicrosoft 365テナントに不正アクセス
正体不明の脅威アクターが、ConnectWise Cloud Backup（旧称SkyKick）に属する侵害されたMicrosoft 365の資格情報を悪用し、顧客のMicrosoft 365環境に不正アクセスするキャンペーンを展開しています。
サイバーセキュリティ企業のHuntressは、侵害されたベンダーの資格情報を使用して、173のパートナーまたは顧客テナント内で不正なサインインが確認されたと報告しました。このアプリケーションは、管理サービスプロバイダーがクライアントのデータを保護するために設計されており、インストールされたすべてのテナントにおいて、メールボックス、OneDrive、SharePoint、Teams、およびディレクトリデータへの広範なアクセス権限が付与されています。
攻撃者は、バックアップサービスと同様の手法でアプリケーションに認証し、既存の権限を持つトークンを取得したと観察されています。これにより、攻撃者はバックアップサービスが可能な範囲でメールボックスやファイル、ディレクトリデータの読み取りが可能になります。また、10月15日の協定世界時06時13分から08時34分の間に、特定のIPアドレスから顧客テナントのMicrosoft Graphトークンを取得しようとした形跡があり、ターゲットリストに基づいたスクリプトによる攻撃である可能性が指摘されています。
さらに、少なくとも1つのパートナーテナントにおいて、別のConnectWiseアプリケーションが自身にグローバル管理者の権限を割り当て、他の信頼されたアプリケーションに資格情報を追加していたことが判明しました。これにより、リスクがベンダーアカウントを超えて拡大し、他の特権アプリケーションへの経路が開かれることになります。
ConnectWiseは、追って通知があるまでCloud Backupアプリケーションへのアクセスを遮断する措置を講じました。同社は、パートナーのバックアップデータが侵害された証拠は見つかっていないと述べています。