ConnectWise雲端備份服務遭入侵，逾百家企業Microsoft 365租戶遭駭客非法存取

背景與影響

ConnectWise旗下原SkyKick Cloud Backup服務遭駭客取得應用程式身分（service principal）的憑證，攻擊者自10月15日起利用單一IP位址，直接以該應用程式身分向Microsoft 365租戶進行驗證並取得存取權杖，由於是程式化的自動腳本登入、並非使用者登入，多因素驗證（MFA）完全無法發揮防護作用。

ConnectWise的雲端備份服務透過Microsoft Entra ID取得客戶租戶中電子郵件、OneDrive、SharePoint、Teams等資源的廣泛存取權限，這類「應用程式身分」一旦遭竊，攻擊者便可直接繼承該應用程式原有的全部授權，不需個別破解每位使用者密碼即可大規模存取客戶資料。

資安業者Huntress確認已有至少162個租戶遭未授權登入，且在部分租戶中發現惡意應用程式自我授予「全域管理員」角色，並進一步在其他受信任的應用程式（包含MSP管理工具與資安平台本身）中植入新憑證，使風險從單一租戶擴散至整個MSP管理鏈。

ConnectWise已於10月17日關閉七個相關應用程式身分，撤銷雲端備份用的共享憑證，並暫停SaaS Security與Cloud Management服務以利調查，但強調既有備份封存檔案本身未遭入侵，目前仍在釐清憑證外洩的確切原因。

解決方案

• 立即檢查Microsoft 365租戶中是否存在上述已停用的ConnectWise應用程式識別碼相關活動。
• 審查Entra ID中所有應用程式的權限與角色指派，確認是否有應用程式被賦予非預期的全域管理員權限。
• 檢查是否有應用程式新增了未知的用戶端密鑰（client secret），尤其是MSP管理工具與資安平台相關應用。
• 暫時撤銷或限制ConnectWise相關應用程式在租戶中的存取權限，直到官方調查完成。
• 對來自144.172.64.128等已知惡意IP的登入紀錄進行回溯稽核。
• 與MSP供應商確認備份服務何時恢復，並在服務重啟前重新評估授權範圍。
• 長期應導入最小權限原則，定期審查第三方應用程式在雲端租戶中的授權範圍，避免過度授權造成單點失陷風險。