适用对象：Microsoft 365 管理员、使用过 ConnectWise Cloud Backup、Cloud Management 或 SaaS Security（原 SkyKick）的 MSP，以及其 IT 服务商使用这些服务的企业。本文基于 ConnectWise 的公告和 Microsoft 的研究文章，不涉及攻击手法。
事态发展中：本文将随机构发布更多信息而更新
截至 2026 年 10 月 30 日尚不清楚
- 应用凭据最初是如何获取的
- 实际被入侵的租户数量
- 是否有任何客户数据被访问或复制
- Cloud Backup 何时完全恢复
ConnectWise 的公告最近一次更新于 2026 年 10 月 29 日（UTC 20:45）。公告称，Microsoft 365 备份的分阶段恢复已于 10 月 28 日通过一个新应用“ConnectWise Cloud Backup for M365”开始，并且除非 ConnectWise 指示，合作伙伴不得重新启用此前已停用的应用。
Microsoft 365 管理员今天应检查什么
按 ID 查找应用，范围包括您自己的租户和您管理的每个客户租户
在 Entra ID 中，打开“企业应用程序”和“应用注册”，按应用 ID 而不是名称搜索。ConnectWise 的公告列出了它所停用的七个应用身份（Cloud Backup、Cloud Management 以及五个 Cloud Management 集成），并称较早的安装可能以 SkyKick 名称出现。ConnectWise 公布的 Cloud Backup 应用 ID 为 506e08f9-6e9a-4da4-942b-a099a03644ae；完整列表请以公告本身为准。
请包括过去的安装。几年前已停止使用的应用，仍可能留在租户中。
停用而不要删除，并保留证据
ConnectWise 和 Microsoft 都表示，在 ConnectWise 发布恢复说明之前，应保持受影响的连接处于停用状态；Microsoft 还建议不要把删除企业应用程序作为第一步。删除会移除同意授权和审计记录，而您需要这些来查看应用做过什么。在做任何更改之前，请先保存 Entra 登录日志和审计日志、Purview 审计记录以及 SIEM 数据。
检查服务主体登录
查看这些应用的登录情况，成功与失败分开，至少从 10 月 15 日起，最好回溯到 10 月 1 日。不要把检查范围限定在 ConnectWise 公布的 IP 地址：Microsoft 说不要这样做，ConnectWise 自己的指南也说不要把搜索限定在公布的 IP。ConnectWise 应用的正常流量来自 Azure 地址段，因此来自其他位置的成功登录值得进一步关注。
检查租户内部发生了哪些变更
停用应用并不会撤销已经做出的更改。针对上述时间段，请检查：
- 任何应用上您未添加的新客户端密码或证书，尤其是管理和安全工具
- 新的服务主体、新的所有者、应用角色和同意授权
- 目录角色分配，特别是被授予特权角色的应用
- 组以及条件访问策略或例外项的变更
Microsoft 指出，这类更改可在原应用被停用后充当重新进入的途径。
检查邮件和文件活动
在 Purview 审计日志中，查找新的收件箱规则、转发到外部地址、隐藏或删除邮件的规则、新的完全访问或代发权限，以及传输规则的变更。对照您团队已批准的更改逐一核实。某个应用通过了身份验证，本身并不能说明数据被复制；而此前未启用的日志，现在也无法找回。
尽快上报，并询问您的服务商
如果您发现意外的凭据、特权分配或可疑的成功活动，请联系您的事件响应服务商。ConnectWise 请合作伙伴将发现的情况报告至公告中给出的其安全合作伙伴支持地址，且不要附带密码、密钥或令牌。如果由 MSP 管理您的租户，请询问对方使用过其中哪些应用、使用时间，以及已检查了哪些内容。
发生了什么（依据 ConnectWise 和 Microsoft）
2026 年 10 月 15 日
调查此事件的一家安全公司观察到，使用该供应商应用凭据的未经授权登录出现主要高峰（依据该公司的报告）。10 月 16 日
ConnectWise 首次发布公告。该安全公司报告称，截至 UTC 19:00，有 162 个租户出现未经授权的登录。10 月 17 日
ConnectWise 停用了七个应用身份，并通过撤销其连接所用的证书暂停了 Cloud Backup。该公司还称，出于预防考虑暂停了 SaaS Security 和 Cloud Management（公告未给出这一步骤的时间），因此计划的备份不再运行。该安全公司后来报告称，来自同一来源的登录活动涉及近 1,000 个租户，其中 300 多个成功。10 月 19 日
ConnectWise 完成了对受影响的 Cloud Backup 环境中所有账户和凭据的全面重置。10 月 21 日
Microsoft 发布研究文章。ConnectWise 更新公告称，根据其证据以及 Microsoft 的威胁情报，一个与中国国家有关联的组织似乎应对此负责。10 月 28 日
Microsoft 365 备份开始分阶段恢复，通过一个新应用进行，合作伙伴必须在每个租户中重新授权。10 月 29 日
公告的最新更新。恢复仍在继续；ConnectWise 重申，已停用的应用必须保持停用，除非其另行通知。
- 服务
- Cloud Backup（原 SkyKick），通过 MSP 销售的 Microsoft 365 备份服务。Cloud Management 和 SaaS Security 因与其相连而被出于预防考虑暂停
- 备份存档
- ConnectWise：现有存档仍处于加密和隔离状态，没有遭入侵的迹象
- 客户租户
- ConnectWise：调查结果无法确定合作伙伴或客户的 Microsoft 365 环境是否受到影响。Microsoft：受影响的应用或一次成功的登录并不一定意味着数据被访问
- 归因
- ConnectWise 引用 Microsoft 的威胁情报：一个与中国国家有关联的组织似乎应对此负责。Microsoft 的评估与此一致
- Microsoft 系统
- Microsoft 称，此活动并非因其自身系统、产品或服务遭入侵或存在漏洞所致
- ConnectWise 其他产品
- ConnectWise 称，没有迹象表明被暂停的三项服务之外的产品受到影响
通俗地说说 AI 这一面
Microsoft 称，该组织使用了 ARTEX，这是一个由多个协作的 AI 代理组成的开源工具。它可搭配任意 AI 模型，并能在几乎无需人工参与的情况下自行完成安全测试，从摸清目标到读取数据。Microsoft 指出，10 月的公开报道还将同一工具与韩国金融机构的数据泄露联系起来（参见本站关于这些泄露事件的文章），并且多个地区的行为者都在使用它。
Microsoft 所描述的，是与以往相同的一批弱点，只是被更快地利用。Microsoft 称，在供应商凭据被滥用之后，该工具被用于尝试登录超过 2,250 个租户，并在获得访问权限后，逐项排查目录和应用设置。Microsoft 没有给出这些尝试的每分钟速率。另外，它还描述了 10 月 10 日至 14 日针对八个组织的 327 个账户进行的密码猜测，产生了超过 151,000 次失败登录，10 月 11 日达到峰值，每分钟 2,900 次失败，该活动中没有成功的登录。对防御方而言，实际影响是从首次接触到取得特权访问的间隔缩短，因此对新凭据和角色变更发出告警，比一周后再回头查看日志更重要。关于 AI 驱动入侵的更全面情况，参见Hugging Face 入侵事件的文章。
供应商应用凭据被滥用
↓→
该应用是否仍以任何名称存在于您的租户中？
→ 按应用 ID 搜索，包括旧的安装
应用被授予角色并添加了新密码（Microsoft、安全公司）
↓→
是否有应用带有您未添加的凭据或角色？
→ 检查所有应用的凭据和目录角色
不到三小时即取得访问权限（Microsoft）
↓→
您能在当天而不是下周得知出现了新凭据吗？
→ 对新密码和角色变更发出告警
已知与未知的内容
状态截至 2026 年 10 月 30 日。随着 ConnectWise 和 Microsoft 发布更多信息，我们将更新状态一列。
| 项目 | 两家机构的说法 | 状态 |
|---|---|---|
| Cloud Backup 应用凭据遭未经授权访问 | ConnectWise 公告，首次发布于 10 月 16 日 | 已确认（ConnectWise） |
| 七个应用身份被停用，证书被撤销 | 10 月 17 日 | 已确认（ConnectWise） |
| 受影响环境中的所有账户和凭据被重置 | 10 月 19 日 | 已确认（ConnectWise） |
| 备份存档被访问 | 没有遭入侵的迹象 | 未发现（ConnectWise） |
| 客户的 Microsoft 365 租户受到影响 | 调查结果无法确定是否受到影响 | 调查中 |
| 被 AI 驱动的登录尝试作为目标的租户 | 超过 2,250 个 | 已确认（Microsoft），属尝试而非入侵 |
| 出现未经授权登录的租户 | 截至 10 月 16 日为 162 个；后来来自同一来源的成功登录超过 300 次 | 已报告（安全公司） |
| 取得特权访问 | 在许多组织中，未给出数量；部分在三小时内 | 已确认（Microsoft） |
| 任何租户的数据被复制 | 未说明；Microsoft 提醒仅凭登录并不能说明这一点 | 未披露 |
| 凭据最初是如何获取的 | 未说明 | 调查中 |
| 责任方 | 与国家有关联的组织 | 评估（ConnectWise、Microsoft） |
| 恢复 | 自 10 月 28 日起分阶段进行，新应用，需要重新授权 | 进行中 |
如何解读这些数字：三种计数，三种含义
2,250 是被作为目标的租户数。162 是某一天确认出现未经授权登录的租户数。“300 多”是更大范围内来自同一来源的成功登录次数。它们都不是数据被窃取的计数，也都不是受害者总数。
为什么一个备份应用会牵涉众多企业
多租户应用通过一套凭据运作，每个客户租户都已批准这套凭据。持有这套凭据的人，可以尝试同时在所有这些租户中以该应用的身份登录。备份工具通常持有广泛的读取权限，这既是它们有用的原因，也是它们值得认真审查权限的原因。这与此前一些事件的形态相同：入口是受信任的供应商连接，而不是客户自己的员工。相关案例参见2026 年数据泄露与网络攻击一览。
面向管理员和 MSP：审查持有广泛访问权限的应用
本节是本站自己的一般性建议，并非 ConnectWise 或 Microsoft 的建议。其中一些要点，例如限制应用程序管理员权限、条件访问例外项、工作负载身份保护和 MFA，超出了两家机构所公布的内容。本节也不是对凭据如何被获取的评估，这一点尚未披露。
- 列出所有拥有目录或邮件权限的第三方应用，记录其所有者和存在的原因，并移除无人能解释的应用
- 限制谁持有应用程序管理员角色，因为该角色可以为应用添加凭据
- 对新的客户端密码或证书，以及任何被分配了目录角色的应用发出告警
- 检查让应用绕过基于位置的拦截的条件访问例外项
- 对人员强制启用多重身份验证，并对应用使用工作负载身份保护，因为应用登录不使用 MFA
- 了解您最后一个可用的备份时间点。在 Cloud Backup 暂停期间，检查您的保护空窗期有多长，并参见备份与恢复要点，了解如何保留一份由您自己掌控的副本
参考来源（公开记录）
- ConnectWise，《Cloud Backup（原 SkyKick）安全公告，2026 年 10 月》（首次发布于 2026 年 10 月 16 日，最后更新于 2026 年 10 月 29 日，英文）— connectwise.com
- Microsoft Threat Intelligence，《AI 驱动的大规模国家级行动利用 ARTEX 实现供应链入侵》（2026 年 10 月 21 日，英文）— microsoft.com
- 一家安全公司关于使用该供应商凭据进行未经授权登录的调查报告（更新至 2026 年 10 月 27 日，英文）— huntress.com
更新记录
2026-10-30：首次发布，依据 ConnectWise 于 10 月 29 日更新的公告和 Microsoft 10 月 21 日的研究文章。两者任何一方发布更多信息时，我们将更新本文。
延伸阅读
- 同一工具，不同的受害者：7 家韩国金融机构的数据泄露
- AI 驱动的入侵：Hugging Face 入侵事件与自主 AI 代理
- 防御：多重身份验证指南 / 备份与恢复要点
- 2026 年其他事件：2026 年数据泄露与网络攻击一览