ConnectWise（コネクトワイズ）は、攻撃者が侵害された認証情報を悪用して顧客の「Microsoft 365」環境にアクセスしている安全性の低いアクティビティが検出されたことを受け、クラウドバックアップ（Cloud Backup）、SaaSセキュリティ（SaaS Security）、クラウド管理（Cloud Management）を含む主要なクラウドサービスのいくつかを一時停止すると発表しました。
インデシデントの経緯と影響を受けたサービス
この問題は、同社がクラウドバックアップ環境内で不正な活動を検出したことから始まりました。これにより、調査開始から約12時間後の10月17日に、かつて「SkyKick（スカイキック）」として知られていたサービスの停止に至りました。調査の範囲が拡大するにつれ、同社は翌日、保護対策の実施と潜在的な影響の軽減を目的として、SaaSセキュリティサービスおよびクラウド管理サービスを予防措置として停止することを決定しました。
この予防的措置により、バックアップのスケジュール、アーカイブへのアクセス、および復元作業が停止したほか、SaaSセキュリティの監視やアラート、ユーザーおよびライセンス管理にも影響が出ています。同社は現時点ではサービスの完全復帰に向けた正確なタイムラインを提示していませんが、マネージドサービスプロバイダー（MSP）が自らの環境を確認・保護するための技術的ガイドラインを公開しています。
侵害の性質とHuntress社の役割
サイバーセキュリティ企業のHuntress（ハントレス）社は、侵害されたバックアップ認証情報が10月中旬からMicrosoft 365テナントへのアクセスに使用されたと説明しています。技術分析によると、認証情報の種類はクライアントアサーション（client assertion）であり、これは認証情報が顧客側の行為によるものではなく、プロバイダー自身の環境内に存在していたことを意味しています。
Huntress社は、法律事務所に対するパスワードスプレー攻撃に使用されたIPアドレスからのアクティビティを検出しました。攻撃者は、「Entra（エントラ）」環境内の特定のリストを標的とするスクリプトを介して侵入しました。一部のログイン試行は成功したものの、実際のアクセスには、標的となったテナント内にConnectWiseのサービスプリンシパル（service principal）が存在している必要があったと同社は確認しています。
実質的に何が変わるのか？
企業経営者やIT管理者は、攻撃者がMicrosoft 365の構成設定を変更していないこと、あるいはテナント内に永続性（persistence）のメカニズムを構築していないことを確認するという重い責任に直面しています。サイバーセキュリティ専門家によれば、一部のIT管理者はMicrosoftが設定のバックアップを自動的に行っていると誤解しており、このような攻撃からの復旧は、セキュリティチームによる徹底的な手動監査を必要とする複雑なものとなっています。