ConnectWise 宣布暂停其多项核心云服务，包括云备份（Cloud Backup）、SaaS 安全（SaaS Security）和云管理（Cloud Management）。此前，该公司检测到不安全活动，攻击者利用泄露的凭据访问了客户在 Microsoft 365 平台上的环境。
事件时间线与受影响的服务
危机始于该公司在其云备份环境中检测到未经授权的活动，促使其在开始调查约 12 小时后的 10 月 17 日，暂停了此前被称为“SkyKick”的服务。随着调查范围的扩大，该公司在次日预防性地决定暂停 SaaS 安全和云管理服务，以采取保护措施并缓解潜在影响。
这一预防性措施导致备份计划、归档访问和恢复操作中断，SaaS 安全监控与警报以及用户和许可证管理也受到影响。该公司目前尚未提供服务全面恢复的精确时间表，但已发布技术指南，以帮助托管服务提供商（MSP）审查并保障其环境的安全。
入侵性质与 Huntress 公司的角色
网络安全公司 Huntress 指出，泄露的备份凭据自 10 月中旬起被用于访问 Microsoft 365 租户。技术分析表明，该凭据类型为客户端断言（client assertion），这意味着凭据存在于提供商自身的环境中，而非由客户的操作所致。
Huntress 监测到来自一个 IP 地址的活动，该 IP 地址曾被用于针对律所的密码喷射攻击，攻击者通过针对 Entra 环境中特定列表的脚本进行渗透。尽管部分登录尝试取得成功，但该公司确认，实际访问需要目标租户内存在 ConnectWise 的服务主体（service principal）。
在实践中意味着什么？
企业所有者和 IT 管理员面临着沉重的责任，即核实攻击者未更改 Microsoft 365 平台设置，或未在其租户内建立持久访问机制（persistence）。据网络安全专家称，一些 IT 管理员误以为微软会自动备份配置设置，这使得从此类攻击中恢复变得复杂，需要安全团队进行全面的手动审计。