ConnectWise関連のアプリケーションID悪用で、少なくとも162件のMicrosoft 365テナントが侵害されたとされる

既存権限のあるバックアップアプリIDを利用

報道によれば、攻撃者はバックアップアプリのシークレットを使ってMicrosoft 365に認証し、各顧客テナントであらかじめ付与されていた権限を利用した。
Huntressは自社の監視環境で少なくとも162件の侵害テナントを確認した。
報道では、ディレクトリロールの自己付与や認証情報追加の試みが含まれ、Microsoftはこの事案を進行中のサプライチェーン攻撃と位置づけたとされる。
ConnectWiseはパートナーのバックアップデータが侵害された兆候はないとしている一方、別のIDを通じて設定された認証情報、権限、アクセスは追加の確認と対処が必要だとした。

入手した報告には、影響を受けた Microsoft 365 テナント数の比較可能な従来値や、復旧時期の比較材料は示されていない。

ConnectWiseは、関与したとされる7つのアプリケーションIDを無効化し、Cloud Backupを停止したと報じられている。
10月18日の更新では、定期バックアップ、アーカイブへのアクセス、復元機能が引き続き利用できず、予防措置としてSaaS SecurityとCloud Managementも停止中とされた。

報じられた侵入経路は、利用者の対話的ログインではなく、顧客がすでに許可していた権限を持つアプリケーションIDだった。
関与したアプリを無効化しても、顧客テナントに後から追加された認証情報が自動的に消えるわけではなく、既発行のアクセストークンも失効または無効化まで使える場合があるとされる。