Der IT-Dienstleister Connectwise musste seinen Cloud-Backup-Dienst für Partner und Kunden vorübergehend abschalten. Grund dafür waren unbefugte Zugriffe auf Anwendungsidentitäten, die dann Microsoft-365-Mandanten kompromittierten, wie 'Bleepingcomputer' berichtet. Die erlangten Berechtigungen hätten den Zugriff auf E-Mails, Dateien in Onedrive und Sharepoint sowie Teams-Chats ermöglicht.

Wenig später bestätigte Microsoft ebenfalls, erfolgreiche Authentifizierungen aus einer verdächtigen IP-Adresse entdeckt zu haben. Nach Angaben des Sicherheitsunternehmens Huntress waren zunächst mindestens 162 Microsoft-365-Mandanten betroffen. Weitere Analysen erhöhten die Zahl dann auf 173 Partner- und Kundenmandanten.

Der Angriff hatte die Anwendung Connectwise Cloud Backup, ehemals Skykick Cloud Backup, zum Ziel. Die Lösung werde von Managed Service Providern (MSPs) eingesetzt, um Kundendaten wie E-Mails und Dateien in Cloud-Umgebungen wie Microsoft 365 und Google Workspace zu schützen und wiederherzustellen. Für die M365-Backups erhält die Anwendung weitreichende Berechtigungen innerhalb der jeweiligen Microsoft-Umgebungen, wie 'Bleepingcomputer' weiter schreibt.

Connectwise untersuche den Vorfall gemeinsam mit externen Spezialisten und arbeite an der Behebung der Sicherheitsprobleme. "Die Dienste Cloud Backup, SaaS Security und Cloud Management bleiben jedoch bis zum Abschluss der Massnahmen und Sicherheitsprüfungen ausgesetzt", erklärt der IT-Dienstleister in einer Sicherheitsmeldung. Dadurch seien unter anderem geplante Backups, der Zugriff auf Archive und Datenwiederherstellungen weiterhin nicht möglich. Einen konkreten Zeitpunkt für die Wiederaufnahme der Dienste könne Connectwise bislang nicht nennen.

Connectwise, Microsoft und Huntress empfehlen Administratoren, die Anmeldeaktivitäten und Berechtigungen ihrer M365-Umgebungen zu überprüfen, heisst es weiter. Dabei sollten insbesondere ungewöhnliche IP-Adressen, Änderungen an Anwendungszugängen und neu erteilte OAuth-Berechtigungen untersucht werden. Huntress rät zudem, die betroffenen Connectwise-Anwendungen zu deaktivieren, unautorisierte Zugangsdaten zu entfernen und verbundene Cloud-Management-Integrationen auf verdächtige Änderungen zu prüfen.

Dem Bericht zufolge beobachteten Microsoft, Huntress und Administratoren am 15. Oktober 2026 verdächtige Aktivitäten, die von derselben IP-Adresse ausgingen: 144.172.64[.]128.

Gemäss einer Analyse der Cybersecurityplattform Todyl nutzte der Angreifer einen geheimen Anwendungsschlüssel, um sich direkt bei Microsoft 365 anzumelden. Dadurch konnte er auf die Berechtigungen zugreifen, die Kunden dem Backup-Dienst bereits erteilt hatten. Da die Anmeldungen laut Mitteilung automatisiert und ohne Benutzerkonto erfolgten, war die Multi-Faktor-Authentifizierung (MFA) nutzlos. Bei der Untersuchung von neun Mandanten fanden die Todyl-Forschenden jedoch keine Hinweise darauf, dass der Angreifer neue Konten erstellt, Berechtigungen und Passwörter geändert oder dauerhaften Zugriff eingerichtet hatte.

Huntress habe hingegen bei fast 50 überwachten Mandanten festgestellt, dass sich Connectwise-Anwendungen selbst zusätzliche Administratorrechte zugewiesen hatten, meist die Rolle "Exchange Administrator". In einem Fall erhielt der Angreifer innerhalb von rund fünf Minuten sogar die Rolle "Global Administrator" und hinterlegte zusätzliche Zugangsdaten für ein MSP-Verwaltungstool sowie eine Huntress-Anwendung.

Auch Microsoft beobachtete Versuche, weitere Zugangsdaten hinzuzufügen und den Zugriff über Microsoft Graph auszuweiten. Microsoft Threat Intelligence stuft den Vorfall als aktiven Supply-Chain-Angriff ein, wie es weiter heisst.