Злоумышленники через ConnectWise получили доступ к 173 арендаторам Microsoft 365
13 октября 2026 года злоумышленники использовали скомпрометированные учётные данные сервисной учётной записи ConnectWise, чтобы получить доступ к 173 арендаторам Microsoft 365 через делегированные права администратора. Инцидент не был связан с уязвимостью программного обеспечения ConnectWise. Учётные данные, вероятно, похитили или раскрыли с помощью фишинга, повторного использования паролей либо другого способа компрометации учётных данных.
Первые попытки несанкционированного входа обнаружили в 03:12 UTC. Скомпрометированная учётная запись открывала широкий доступ к средам клиентов. Используя штатные административные возможности Microsoft 365, включая Microsoft Graph API и Exchange Online PowerShell, злоумышленники, по имеющимся данным, перечисляли пользователей, группы, разрешения и сведения каталога. Они также могли получать доступ к данным в почтовых ящиках Exchange Online, OneDrive, SharePoint и Teams или выводить их. В некоторых средах злоумышленники, возможно, создавали учётные записи или меняли разрешения, чтобы сохранить доступ.
Вредоносное ПО, пользовательские импланты и сторонние инструменты не обнаружили. Активность опиралась на действительные учётные данные и стандартные сервисы Microsoft, поэтому могла имитировать обычную административную работу и затруднять обнаружение. Подтверждённой атрибуции злоумышленника нет.
Среди пострадавших организаций были провайдеры управляемых сервисов, юридические фирмы, организации в сферах национальной безопасности и торговли, компании критической инфраструктуры, а также технологические и консалтинговые компании. В отчёте такую широту пострадавших связывают с ценностью доступа через MSP к средам множества клиентов.
Расследование и реагирование проводились с 13 по 16 октября, раскрытие инцидента и устранение последствий продолжались с 16 по 18 октября. В числе принятых мер были отключение скомпрометированных учётных данных и отзыв привилегий делегированного администратора.
Авторы отчёта рекомендуют организациям:
- проверить журналы входа и аудита Microsoft 365 на аномальную активность служебных учётных записей;
- расследовать доступ к почтовым ящикам и данным для совместной работы;
- выявить несанкционированные изменения учётных записей или разрешений;
- сбросить учётные данные служебных учётных записей;
- внедрить многофакторную аутентификацию (MFA) для привилегированных учётных записей;
- сократить объём делегированного администрирования до минимально необходимого.
Доступ третьих лиц следует непрерывно контролировать, выявляя необычные шаблоны аутентификации, перечисления ресурсов и доступа к данным.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
