ConnectWise heeft Cloud Backup tijdelijk uitgeschakeld nadat aanvallers applicatie-identiteiten misbruikten om Microsoft 365-omgevingen te compromitteren.
ConnectWise heeft zeven applicatie-identiteiten uitgeschakeld nadat onbekende dreigingsactoren ongeautoriseerde toegang kregen tot deze identiteiten en Microsoft 365-omgevingen van klanten compromitteerden. De getroffen applicaties, waaronder ConnectWise Cloud Backup en diverse Cloud Management-onderdelen, zijn sinds 17 oktober 2026 om 07:00 UTC gedeactiveerd. Tegelijkertijd is de Cloud Backup-service opgeschort door het intrekken van certificaten die voor de verbindingen met deze applicaties werden gebruikt.
Door het uitschakelen van de getroffen verbindingen wordt nieuwe authenticatie via deze applicaties voorkomen, maar wijzigingen die eerder binnen een tenant zijn doorgevoerd, worden hiermee niet ongedaan gemaakt. De gedeelde Cloud Backup-credentials zijn ongeldig verklaard, maar eerder uitgegeven toegangstokens kunnen nog geldig zijn tot ze verlopen of ongeldig worden gemaakt. ConnectWise benadrukt dat eventuele ongeautoriseerde toegangsrechten die via andere identiteiten zijn verkregen, apart moeten worden onderzocht en hersteld. Geplande back-ups worden momenteel niet uitgevoerd en toegang tot back-uparchieven en herstelmogelijkheden is niet beschikbaar. De bestaande archieven blijven echter versleuteld, geïsoleerd en intact, zonder aanwijzingen dat deze zijn aangetast door de aanvallers.
Uit voorzorg heeft ConnectWise ook de SaaS Security- en Cloud Management-diensten tijdelijk offline gehaald om het incident grondig te onderzoeken. Het probleem werd op 14 oktober 2026 ontdekt dankzij geavanceerde cybersecuritymonitoring, waarna interne en externe incidentrespons werd geactiveerd. Sinds de genomen maatregelen zijn er geen succesvolle dreigingsactiviteiten meer waargenomen in de gemonitorde omgevingen. De status van downstream klantomgevingen blijft echter onbekend, aangezien ConnectWise deze niet direct kan monitoren.
Het is nog onduidelijk of een kwetsbaarheid in een product heeft bijgedragen aan het lekken van de applicatie-identiteiten. De precieze wijze van credential-exposure wordt nog onderzocht. De aanval is bijzonder risicovol omdat de aanvaller met de gestolen applicatie-credentials toegang kan krijgen tot Microsoft 365-omgevingen van klanten zonder individuele wachtwoorden te stelen. Door zich als de applicatie te authenticeren, kan de aanvaller toegangstokens aanvragen via Microsoft Entra ID op basis van de bestaande machtigingen van de applicatie. Afhankelijk van deze rechten kan dit leiden tot toegang tot mailboxes, SharePoint-documenten, Teams-berichten en directory-informatie. Met de uitgebreide rechten die ConnectWise-applicaties hebben voor back-up en beheer, kan een aanvaller zich als de applicatie voordoen en zijn toegang uitbreiden door bijvoorbeeld de Global Administrator-rol toe te voegen, client secrets aan andere vertrouwde applicaties toe te voegen en nieuwe applicaties te creëren met bijbehorende rechten.
