Для: администраторов Microsoft 365, MSP, использовавших ConnectWise Cloud Backup, Cloud Management или SaaS Security (прежде SkyKick), и компаний, чей ИТ-провайдер ими пользуется. Статья основана на бюллетене ConnectWise и исследовании Microsoft и не описывает методы атак.
Развивается: статья будет обновляться по мере публикации организацией новых сведений
По состоянию на 30 октября 2026 годаПока неизвестно
- Как были первоначально получены учетные данные приложений
- Сколько тенантов было фактически скомпрометировано
- Был ли получен доступ к данным клиентов или были ли они скопированы
- Когда завершится восстановление Cloud Backup
Бюллетень ConnectWise последний раз обновлялся 29 октября 2026 года (20:45 UTC). В нем говорится, что поэтапное восстановление резервного копирования Microsoft 365 началось 28 октября через новое приложение «ConnectWise Cloud Backup for M365» и что партнеры не должны повторно включать ранее отключенные приложения, если ConnectWise не даст такого указания.
Что администраторам Microsoft 365 проверить сегодня
Найдите приложения по идентификатору в своем тенанте и в каждом управляемом вами тенанте клиента
В Entra ID откройте «Корпоративные приложения» и «Регистрация приложений» и ищите по идентификатору приложения, а не по имени. В бюллетене ConnectWise перечислены семь отключенных идентификаторов приложений (Cloud Backup, Cloud Management и пять интеграций Cloud Management), и сказано, что старые установки могут отображаться под именами SkyKick. Идентификатор приложения Cloud Backup, опубликованный ConnectWise: 506e08f9-6e9a-4da4-942b-a099a03644ae; полный список берите из самого бюллетеня.
Учитывайте и прошлые установки. Приложение, которым вы перестали пользоваться много лет назад, может по-прежнему присутствовать в тенанте.
Отключайте, а не удаляйте, и сохраняйте доказательства
И ConnectWise, и Microsoft говорят держать затронутые подключения отключенными, пока ConnectWise не выпустит инструкции по восстановлению, а Microsoft советует не удалять корпоративные приложения в качестве первого шага. Удаление стирает согласие и журнал аудита, нужный, чтобы понять, что делало приложение. Прежде чем что-либо менять, сохраните журналы входов и аудита Entra, записи аудита Purview и данные SIEM.
Проверьте входы субъектов-служб
Посмотрите входы этих приложений, успешные и неудачные отдельно, как минимум с 15 октября, а лучше с 1 октября. Не ограничивайте проверку IP-адресами, опубликованными ConnectWise: Microsoft говорит так не делать, и собственное руководство ConnectWise тоже советует не ограничивать поиск опубликованным IP. Обычный трафик приложения ConnectWise приходит из диапазонов Azure, поэтому успешные входы из других мест заслуживают более пристального внимания.
Проверьте, что изменилось внутри тенанта
Отключение приложения не отменяет уже сделанных изменений. Проверьте за указанный выше период:
- новые секреты клиента или сертификаты у любых приложений, особенно у инструментов управления и безопасности, которые вы не добавляли
- новые субъекты-службы, новых владельцев, роли приложений и предоставленные согласия
- назначения ролей каталога, в частности любое приложение, которому дали привилегированную роль
- изменения в группах, а также в политиках или исключениях условного доступа
Microsoft отмечает, что такие изменения могут служить обходным путем для возвращения после отключения исходного приложения.
Проверьте активность с почтой и файлами
В журнале аудита Purview ищите новые правила входящих, пересылку на внешние адреса, правила, скрывающие или удаляющие сообщения, новые разрешения «Полный доступ» или «Отправить как» и изменения правил транспорта. Сверяйте каждое с изменениями, одобренными вашей командой. Аутентификация приложения сама по себе не показывает, что данные были скопированы, а журналирование, которое не было включено раньше, теперь не восстановить.
Быстро эскалируйте и спросите своего провайдера
Если вы обнаружите неожиданные учетные данные, привилегированные назначения или подозрительную успешную активность, привлеките своего провайдера реагирования на инциденты. ConnectWise просит партнеров сообщать о находках на адрес поддержки партнеров по безопасности, указанный в бюллетене, не включая пароли, ключи или токены. Если вашим тенантом управляет MSP, спросите, какие из этих приложений он использовал, когда и что проверил.
Что произошло (по данным ConnectWise и Microsoft)
15 октября 2026
Охранная компания, расследовавшая инцидент, зафиксировала основной всплеск несанкционированных входов с использованием учетных данных приложения вендора (по отчету этой компании).16 октября
ConnectWise впервые опубликовала бюллетень. Охранная компания сообщила о несанкционированных входах в 162 тенантах по состоянию на 19:00 UTC.17 октября
ConnectWise отключила семь идентификаторов приложений и приостановила Cloud Backup, отозвав сертификаты, которые использовали его подключения. Она также говорит, что в качестве меры предосторожности приостановила SaaS Security и Cloud Management (время этого шага в бюллетене не указано), поэтому резервное копирование по расписанию не выполняется. Позднее охранная компания сообщила о почти 1 000 тенантов с активностью входа из того же источника, более 300 из них — успешной.19 октября
ConnectWise завершила полный сброс всех учетных записей и учетных данных в затронутой среде Cloud Backup.21 октября
Microsoft опубликовала свое исследование. ConnectWise обновила бюллетень, указав, что, судя по ее данным и по разведывательной информации Microsoft, ответственной, по-видимому, является группа, связанная с китайским государством.28 октября
Началось поэтапное восстановление резервного копирования Microsoft 365 через новое приложение, которое партнеры должны заново авторизовать в каждом тенанте.29 октября
Последнее обновление бюллетеня. Восстановление продолжается; ConnectWise повторяет, что отключенные приложения должны оставаться отключенными, если она не скажет иное.
- Сервис
- Cloud Backup (прежде SkyKick) — сервис резервного копирования Microsoft 365, продаваемый через MSP. Cloud Management и SaaS Security приостановлены в качестве меры предосторожности, так как связаны с ним
- Архивы резервных копий
- ConnectWise: существующие архивы остаются зашифрованными и изолированными, признаков компрометации нет
- Тенанты клиентов
- ConnectWise: выводы не устанавливают, были ли затронуты среды Microsoft 365 партнеров или клиентов. Microsoft: затронутое приложение или успешный вход не обязательно означают, что к данным был получен доступ
- Атрибуция
- ConnectWise со ссылкой на разведывательные данные Microsoft: ответственной, по-видимому, является группа, связанная с китайским государством. Microsoft оценивает так же
- Системы Microsoft
- Microsoft говорит, что активность не стала результатом компрометации или уязвимости ее собственных систем, продуктов или сервисов
- Другие продукты ConnectWise
- ConnectWise сообщает об отсутствии признаков того, что затронуты продукты помимо трех приостановленных сервисов
Роль ИИ простыми словами
Microsoft говорит, что группа использовала ARTEX — открытый инструмент из нескольких взаимодействующих ИИ-агентов. Он работает с любой ИИ-моделью и способен самостоятельно провести тест безопасности — от изучения цели до чтения данных — с минимальным участием человека. Microsoft отмечает, что публичные сообщения в октябре также связывали этот инструмент со взломами корейских финансовых учреждений (см. нашу статью о тех взломах) и что им пользуются акторы в нескольких регионах.
Microsoft описывает те же слабые места, что и раньше, но используемые гораздо быстрее. Microsoft говорит, что после злоупотребления учетными данными вендора инструмент применялся, чтобы пытаться войти в более чем 2 250 тенантов, а там, где доступ был получен, — чтобы разбирать настройки каталога и приложений. Частоты этих попыток в минуту Microsoft не приводит. Отдельно она описывает подбор паролей с 10 по 14 октября против 327 учетных записей в восьми организациях, давший более 151 000 неудачных входов с пиком в 2 900 неудач в минуту 11 октября, без единого успешного входа в рамках этой активности. Для защитников практический эффект — более короткое время между первым контактом и привилегированным доступом, поэтому оповещения о новых учетных данных и изменениях ролей важнее, чем просмотр журналов неделю спустя. Более широкую картину ИИ-вторжений см. в статье о вторжении в Hugging Face.
Злоупотребление учетными данными приложений вендора
↓→
Есть ли приложение в вашем тенанте под каким-либо именем?
→ Ищите по идентификатору приложения, включая старые установки
Приложениям давали роли и новые секреты (Microsoft, охранная компания)
↓→
Есть ли у какого-либо приложения учетные данные или роль, которых вы не добавляли?
→ Проверьте учетные данные и роли каталога у всех приложений
Доступ получен менее чем за три часа (Microsoft)
↓→
Узнаете ли вы о новых учетных данных сегодня, а не на следующей неделе?
→ Настройте оповещения о новых секретах и изменениях ролей
Что известно и что неизвестно
По состоянию на 30 октября 2026 года. Мы обновим столбец статуса, когда ConnectWise и Microsoft опубликуют новые сведения.
| Пункт | Что говорят организации | Статус |
|---|---|---|
| Несанкционированный доступ к учетным данным приложений Cloud Backup | Бюллетень ConnectWise, впервые опубликован 16 октября | Подтверждено (ConnectWise) |
| Семь идентификаторов приложений отключены, сертификаты отозваны | 17 октября | Подтверждено (ConnectWise) |
| Сброшены все учетные записи и учетные данные в затронутой среде | 19 октября | Подтверждено (ConnectWise) |
| Доступ к архивам резервных копий | Признаков компрометации нет | Не обнаружен (ConnectWise) |
| Затронутые тенанты Microsoft 365 клиентов | Выводы не устанавливают, были ли они затронуты | Расследуется |
| Тенанты, ставшие целью попыток входа с помощью ИИ | Более 2 250 | Подтверждено (Microsoft), это попытки, а не компрометации |
| Тенанты с несанкционированными входами | 162 по состоянию на 16 октября; позднее более 300 успешных входов из того же источника | Сообщено (охранная компания) |
| Получение привилегированного доступа | Во многих организациях, число не названо; в некоторых случаях в течение трех часов | Подтверждено (Microsoft) |
| Копирование данных из какого-либо тенанта | Не указано; Microsoft предупреждает, что одного входа для этого недостаточно | Не раскрыто |
| Как первоначально были получены учетные данные | Не указано | Расследуется |
| Ответственная сторона | Группа, связанная с государством | Оценка (ConnectWise, Microsoft) |
| Восстановление | Поэтапно с 28 октября, новое приложение, требуется повторная авторизация | В процессе |
Как читать цифры: три числа, три значения
2 250 — это тенанты, ставшие целью. 162 — тенанты, в которых несанкционированные входы подтверждены за один день. «Более 300» — успешные входы из того же источника в более широком наборе. Ни одно из них не является числом краж данных и ни одно не является общим числом жертв.
Почему одно приложение для резервного копирования может затронуть многие компании
Мультитенантное приложение работает с одним набором учетных данных, которое одобрил каждый тенант клиента. Тот, у кого эти учетные данные, может пытаться войти как приложение сразу во всех этих тенантах. Инструменты резервного копирования часто имеют широкие права на чтение — это делает их полезными, но и поэтому их разрешения стоит внимательно проверять. Это та же схема, что и в прежних инцидентах, где входом служило доверенное подключение вендора, а не сотрудники самого клиента. Связанные случаи см. в статье Утечки данных и кибератаки 2026 года.
Администраторам и MSP: проверка приложений с широким доступом
Этот раздел — общие рекомендации самого сайта, а не ConnectWise или Microsoft. Некоторые пункты, такие как ограничение прав администратора приложений, исключения условного доступа, защита рабочих идентификаторов и MFA, выходят за рамки того, что опубликовали две организации. Это не оценка того, как были получены учетные данные, — это не раскрыто.
- Составьте список всех сторонних приложений с правами на каталог или почту, запишите, кто ими владеет и зачем они нужны, и удалите те, которые никто не может объяснить
- Ограничьте круг лиц с ролью администратора приложений, так как эта роль может добавлять приложениям учетные данные
- Настройте оповещения о новых секретах клиента или сертификатах и о любом приложении, которому назначена роль каталога
- Проверьте исключения условного доступа, позволяющие приложению обходить блокировки по местоположению
- Требуйте многофакторную аутентификацию для людей и используйте защиту рабочих идентификаторов для приложений, так как входы приложений не используют MFA
- Знайте свою последнюю исправную точку резервной копии. Пока Cloud Backup приостановлен, выясните, как долго длится пробел в защите, а про вторую копию под вашим контролем см. основы резервного копирования и восстановления
Источники (публичные сведения)
- ConnectWise, «Cloud Backup (formerly SkyKick) Security Advisory, October 2026» (впервые опубликован 16 октября, последнее обновление 29 октября 2026) — connectwise.com
- Microsoft Threat Intelligence, «AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise» (21 октября 2026) — microsoft.com
- Отчет о расследовании одной охранной компании о несанкционированных входах с использованием учетных данных вендора (обновлен по 27 октября 2026) — huntress.com
История обновлений
2026-10-30: Первая версия, основанная на бюллетене ConnectWise с обновлением от 29 октября и исследовании Microsoft от 21 октября. Мы обновим статью, когда любая из сторон опубликует новые сведения.
Читайте далее
- Тот же инструмент, другие жертвы: Взломы в 7 финансовых учреждениях Кореи
- Вторжения с помощью ИИ: Вторжение в Hugging Face и автономные ИИ-агенты
- Защита: Руководство по многофакторной аутентификации / Основы резервного копирования и восстановления
- Другие инциденты 2026 года: Утечки данных и кибератаки 2026 года