Varastettu ConnectWise-tunnus avasi pääsyn 173 Microsoft 365 -ympäristöön
Hyökkääjät kiersivät käyttäjän salasanan ja kaksivaiheisen tunnistuksen täysin automaattisesti varastetun sovellustunnuksen avulla, tenantti kerrallaan.
Tiivistelmä
Tietoturvayhtiö Huntress kertoo, että rikolliset käyttivät varastettua ConnectWise Cloud Backup -sovelluksen tunnusta päästäkseen 173 Microsoft 365 -ympäristöön ohittaen käyttäjien salasanat ja kaksivaiheisen tunnistuksen kokonaan. Skriptattu hyökkäys eteni organisaatiosta toiseen 15. lokakuuta, ja ainakin yhdessä kohteessa hyökkääjät pystyttivät myös pysyvän pääsytien. ConnectWise suspendoi palvelun 17. lokakuuta, mutta ei ole kertonut, miten alkuperäinen tunnus vuoti.
Hyökkääjät pääsivät sisään 173 Microsoft 365 -ympäristöön lokakuussa, vaikka kukaan niiden käyttäjistä ei kirjautunut mihinkään eikä yksikään salasana vuotanut.
Tietoturvayhtiö Huntress kertoo havainneensa hyökkäyksen, joka käytti varastettua tunnusta ConnectWise Cloud Backup -sovellukseen päästäkseen asiakasorganisaatioiden sähköposteihin, tiedostoihin ja Teams-keskusteluihin.
Sovellus tunnettiin aiemmin nimellä SkyKick, ja Microsoftin järjestelmässä sen tunniste on 506e08f9-6e9a-4da4-942b-a099a03644ae. ConnectWise ei ole kertonut, miten rikolliset saivat sovelluksen tunnuksen käsiinsä.
Olennaista ei ole se, miten tunnus vuoti, vaan se, mihin sitä käytettiin. Sovelluksella on OAuth-tunnistautumisen niin kutsuttu client credentials -oikeus, jonka ansiosta se voi pyytää Microsoftin Graph-rajapinnasta pääsytunnuksia suoraan omalla tunnuksellaan, ilman käyttäjän kirjautumista tai kaksivaiheista tunnistusta.
Toisin kuin aiemmat laitekoodikalasteluun nojanneet M365-murrot, tässä käyttäjää ei tarvittu lainkaan – hyökkäys kohdistui suoraan taustalla toimivaan sovellustunnukseen.
Sovellusluvat (OAuth-suostumus)
Kun yritys ottaa käyttöön ulkopuolisen ohjelmiston, kuten varmuuskopiointipalvelun, se antaa sovellukselle luvan käsitellä tiettyjä Microsoft 365 -tietoja. Lupa on usein pysyvä ja toimii ilman erillistä kirjautumista. Jos rikollinen varastaa sovelluksen omat tunnukset, hän voi käyttää samaa valmiiksi myönnettyä lupaa ja ohittaa käyttäjän salasanan ja kaksivaiheisen tunnistuksen kokonaan.
Oikeudet, jotka sovellus sai aikoinaan, olivat laajat: luku- ja kirjoitusoikeus sähköposteihin ja liitteisiin, pääsy OneDriveen ja SharePointiin, Teams-keskustelut sekä Directory.ReadWrite.All, joka antaa oikeuden muokata organisaation käyttäjätietoja.
Hyökkäys ei ollut kenenkään käsin ohjaama. Liikenne tuli yhdestä IP-osoitteesta, 144.172.64.128, ja pyynnöt lähetettiin komentorivityökaluilla kuten curl, Python-urllib ja python-requests.
Skannaus alkoi 13.–14. lokakuuta, ja varsinainen tunnusten kaappaus tapahtui 15. lokakuuta kello 6.13–8.34 UTC.
Hyökkääjät etenivät organisaatiosta toiseen niiden Microsoft-tunnisteen (GUID) aakkos- ja numerojärjestyksessä. Järjestys paljastaa skriptatun pyyhkäisyn, ei kohdistettua iskua.
Ainakin yhdessä kohdeorganisaatiossa hyökkääjät menivät askelta pidemmälle. Toinen ConnectWise-sovellus myönsi itselleen pääkäyttäjän oikeudet ja istutti uusia asiakastunnuksia muihin luotettuihin sovelluksiin, osan voimassaoloajaksi vuoteen 2028. Tällaiset tunnukset olisivat säilyttäneet pääsyn ympäristöön vielä vuosien päästä, vaikka alkuperäinen varastettu tunnus olisi jo mitätöity.
Huntress havaitsi oman varastetun tunnuksensa ja mitätöi sen 16. lokakuuta aamuyöllä. ConnectWise julkaisi ensimmäisen tiedotteensa samana päivänä kello 13.47 Yhdysvaltain itäistä aikaa, 17.47 UTC.
Seitsemän hyökkäyksessä käytettyä sovellustunnistetta poistettiin käytöstä 17. lokakuuta noin kello 7 UTC, ja Cloud Backup -palvelu suljettiin kokonaan samana iltana kello 17.15 Yhdysvaltain itäistä aikaa.
BleepingComputer vahvisti saman aikajanan riippumattomasti 17. lokakuuta.
Huntressin oma seurantaluku kasvoi 162 tenantista 173:een yhden vuorokauden aikana. Luku kattaa vain Huntressin omat asiakkaat, ei koko toimialaa, ja yksi tenantti voi tarkoittaa yhtä yritystä tai kymmeniä IT-palveluntarjoajan hoitamia asiakkaita.
SpecterOps mittasi asiaa toisesta näkökulmasta ja löysi karkeasti 1 000 Entra-tenanttia, joihin hyökkääjän IP-osoitteesta oli tehty kirjautumisyrityksiä, ja niistä yli 300:ssa yritys onnistui.
Luvut eivät ole yhteismitallisia. Toinen kuvaa yhden turvallisuusyhtiön omaa asiakaskuntaa, toinen laajempaa telemetria-aineistoa.
Yhdysvaltain CISA, FBI tai Europol ei ole julkaissut omaa tiedotetta tästä tapauksesta. ConnectWise päivitti omaa Trust Center -tiedotettaan viimeksi 18. lokakuuta kello 1.00 UTC.
– Meillä ei ole tähän mennessä viitteitä siitä, että Cloud Backup -kumppanien varmuuskopiodataa olisi vaarannettu, ConnectWise toteaa tiedotteessaan.
Microsoft kommentoi tapausta 17. lokakuuta virallisella X-tilillään @MsftSecIntel, ei muodollisessa tietoturvablogissa.
– Seuraamme aktiivista toimitusketjuhyökkäystä, Microsoft kirjoitti tilillään.
Suomalaisia uhreja ei ole vahvistettu. Kyberturvallisuuskeskus ja Traficom eivät ole julkaisseet tapauksesta omaa tiedotetta, eikä kumpikaan viranomainen ole maininnut suomalaisia ConnectWise- tai Microsoft 365 -asiakkaita uhrien joukossa.
Mitä tehdä
- IT-vastuullisen kannattaa tarkistaa Entra-hallintakeskuksesta, löytyykö organisaation sovellusluetteloista ConnectWise Cloud Backup -sovellus tunnisteella 506e08f9-6e9a-4da4-942b-a099a03644ae, ja poistaa se käytöstä tai käydä sen oikeudet läpi, jos se löytyy.
- Kirjautumis- ja auditointilokeista kannattaa etsiä jälkiä IP-osoitteesta 144.172.64.128 tai edellä mainituista komentorivityökaluista, erityisesti 13. lokakuuta alkaen.
- Yhtä tärkeää on tarkistaa, on jokin sovellus myöntänyt itselleen pääkäyttäjän tai Exchange-pääkäyttäjän oikeudet tai saanut uusia asiakastunnuksia, varsinkin sellaisia, jotka vanhenevat vuonna 2028.
- Myös postilaatikoiden välityssäännöt ja edelleenlähetykset, OneDrive- ja SharePoint-jakojen asetukset sekä Teams-keskustelujen vientitapahtumat kannattaa käydä läpi yllättävien muutosten varalta.
- Sovellukseen liittyvät tunnukset on syytä vaihtaa, ja kolmannen osapuolen sovellusluvat kannattaa käydä läpi laajemminkin, ei vain tämän yhden sovelluksen osalta.
- Suomalaisten organisaatioiden kannattaa ilmoittaa epäillystä tietomurrosta Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi, vaikka keskus ei ole toistaiseksi julkaissut omaa tiedotetta tästä tapauksesta.
Lähteet
- Huntress (17.10.2026)
- ConnectWise Trust Center (18.10.2026)
- Microsoft Threat Intelligence (@MsftSecIntel) (17.10.2026)
- SpecterOps (17.10.2026)
- BleepingComputer (17.10.2026)