ConnectWise-tietomurron laajuus kasvoi – yli 300 Microsoft 365 -tiliä murrettu
Turvallisuusyhtiön laajentunut telemetria paljastaa hyökkäyksen todellisen koon, vaikka ConnectWise ei vielä tiedä, mistä kaikki alkoi.
Tiivistelmä
Turvallisuusyhtiö Huntress kertoo, että ConnectWise-tietomurron todellinen laajuus on suurempi kuin aiemmin tiedettiin. Hyökkääjät yrittivät kirjautua noin tuhanteen Microsoft 365 -tiliin ja onnistuivat yli 300:ssa niistä, ja erillinen kohdistettu aalto iski 16 organisaatioon politiikan, kansallisen turvallisuuden ja kriittisten mineraalien alalla. ConnectWise on julkaissut oman aikajanansa tapauksesta, mutta alkuperäinen syy tunnuksen vuotamiseen on yhä selvittämättä, eikä Kyberturvallisuuskeskus ole kommentoinut tapausta.
Huntress nosti arvionsa ConnectWise-tietomurron laajuudesta uuteen mittakaavaan 19. lokakuuta.
Turvallisuusyhtiö kertoo, että hyökkääjät yrittivät kirjautua noin tuhanteen Microsoft 365 -tiliin ja onnistuivat yli 300:ssa niistä. Help Net Security ja The Register raportoivat luvuista molemmat 19. lokakuuta.
Luku on suurempi kuin lokakuun puolivälissä puhuttu 162–173 tenantin arvio, mutta kyse ei ole korjatusta lopullisesta luvusta.
Aiemmat arviot koskivat Huntressin omia asiakastenanteja, uusi luku kuvaa laajempaa kirjautumisyritysten joukkoa, ja lukuja ei ole koskaan sovitettu yhteen. Tarkka kohteiden määrä on edelleen auki.
Osa hyökkäyksestä oli myös kohdistettu.
Erillinen aalto iski 16 organisaatioon politiikan, kansallisen turvallisuuden ja kriittisten mineraalien alalla.
ConnectWise on julkaissut oman aikajanansa Trust Center -sivuillaan, viimeksi päivitettynä 20. lokakuuta kello 0.45 UTC. Yhtiö havaitsi tapauksen 14. lokakuuta ja julkaisi ensimmäisen tiedotteensa 16. lokakuuta kello 17.47 UTC.
Cloud Backup-, SaaS Security- ja Cloud Management -palvelut suljettiin 17. lokakuuta kello 5.00–5.01 UTC.
Yhtiö kertoo, ettei se ole havainnut onnistunutta hyökkäystoimintaa valvomissaan ympäristöissä sen jälkeen, kun torjuntatoimet alkoivat 17. lokakuuta kello 5 UTC.
Alkuperäinen syy tunnuksen vuotamiseen on yhä selvittämättä. ConnectWise toteaa suoraan, ettei sillä ole vahvistusta siitä, vaikuttiko tuotteen haavoittuvuus asiaan, ja tutkinta jatkuu.
Hyökkääjät ehtivät kuitenkin tehdä muutakin kuin kirjautua sisään. Osa heidän luomistaan sovellustunnuksista on voimassa vuoteen 2028 asti, mikä kertoo pyrkimyksestä pysyvään pääsyyn vielä vuosien kuluttua.
Suomalaisia uhreja ei ole vahvistettu missään tähän mennessä tarkistetussa lähteessä.
Tapaus koskettaa Suomea silti rakenteellisesti. Microsoft 365 on käytössä käytännössä kaikissa suomalaisissa yrityksissä ja julkishallinnossa, ja laitekoodiin perustuva OAuth-kalastelu on uhka jokaiselle tenantille riippumatta siitä, ketkä ovat tähän mennessä olleet nimettyjä uhreja.
Kyberturvallisuuskeskus ei ole julkaissut omaa tiedotetta tapauksesta.
Keskuksen 16. lokakuuta julkaistu viikkokatsaus 42/2026, joka kattaa jakson 9.–15.10., ei mainitse laitekoodikalastelua eikä ConnectWisea sanallakaan, ja keskuksen viimeisin laitekoodikohtainen ohje on toukokuulta. Se jättää suomalaiset IT-vastuulliset toistaiseksi ilman kotimaista ohjetta tähän aaltoon.
Mitä tehdä
- Estä laitekoodiin perustuva OAuth-kirjautuminen ehdollisen käytön säännöillä niiltä käyttäjiltä, jotka eivät sitä tarvitse.
- Seuraa ja hälytä uusista laitekoodikirjautumisista ja uusista OAuth-sovellusten suostumuksista.
- ConnectWisen asiakkaiden kannattaa tarkistaa pääkäyttäjäoikeuksien muutokset ja pitkäikäiset sovellustunnukset, jotka on luotu tapauksen aikajakson sisällä.
- Epäillystä tietomurrosta kannattaa ilmoittaa Kyberturvallisuuskeskukselle osoitteessa ilmoita.kyberturvallisuuskeskus.fi.
Lähteet
- Huntress (19.10.2026)
- Help Net Security (19.10.2026)
- The Register (19.10.2026)
- ConnectWise Trust Center (20.10.2026)
- Kyberturvallisuuskeskuksen viikkokatsaus 42/2026 (16.10.2026)
- Microsoft Security Blog (22.09.2026)