ConnectWise Cloud Backupのアプリ資格情報が悪用され、Microsoft 365テナントに侵入　サプライチェーン攻撃でサービス停止

BleepingComputerによると、MSPやIT部門向けのバックアップサービスConnectWise Cloud Backup（旧SkyKick Cloud Backup）で、アプリケーションIDへの不正アクセスが発生し、Microsoft 365テナントが侵害された。Huntressは監視対象のうち少なくとも162テナントでの侵害を確認し、Microsoft Threat Intelligenceも、顧客が付与していたDirectory.ReadWrite.Allなどの強い権限を悪用した進行中のサプライチェーン攻撃と位置づけた。攻撃者はバックアップアプリのシークレットで直接サービスプリンシパルとして認証しており、ユーザーのログインを伴わないため多要素認証は効かなかった。10月15日以降、IPアドレス144.172.64[.]128からの認証とMicrosoft Graph APIでの偵察、追加の資格情報を登録する試みが確認され、Huntressは一部テナントでCloud Management系アプリがExchange管理者やグローバル管理者のロールを自らに付与した例も報告している。ConnectWiseは10月17日05:01（UTC）にサービスを停止し、バックアップデータが侵害された兆候は今のところないとしている。管理者には、Entra IDでアプリID 506e08f9-6e9a-4da4-942b-a099a03644aeのサービスプリンシパルのサインインを確認すること、関連アプリの無効化、10月13日以降に追加されたシークレットや証明書の削除が推奨されている。アプリを無効化しても発行済みのトークンは有効期限まで使える点にも注意が必要だ。