適用對象：Microsoft 365 管理員、使用過 ConnectWise Cloud Backup、Cloud Management 或 SaaS Security（原 SkyKick）的 MSP，以及其 IT 服務供應商使用這些服務的企業。本文根據 ConnectWise 的公告與 Microsoft 的研究文章，不涉及攻擊手法。
進行中：本文將隨機構發布更多資訊而更新
截至2026年10月30日尚不清楚
- 應用程式憑證最初是如何取得的
- 實際被入侵的租用戶數量
- 是否有任何客戶資料被存取或複製
- Cloud Backup 何時完全恢復
ConnectWise 的公告最近一次更新於2026年10月29日（UTC 20:45）。公告表示，Microsoft 365 備份的分階段恢復已於10月28日透過一個新應用程式「ConnectWise Cloud Backup for M365」開始，且除非 ConnectWise 指示，合作夥伴不得重新啟用先前已停用的應用程式。
Microsoft 365 管理員今天應檢查什麼
依 ID 尋找應用程式，範圍包括您自己的租用戶與您管理的每個客戶租用戶
在 Entra ID 中，開啟「企業應用程式」與「應用程式註冊」，依應用程式 ID 而非名稱搜尋。ConnectWise 的公告列出了它所停用的七個應用程式身分（Cloud Backup、Cloud Management 以及五個 Cloud Management 整合），並表示較早的安裝可能以 SkyKick 名稱出現。ConnectWise 公布的 Cloud Backup 應用程式 ID 為 506e08f9-6e9a-4da4-942b-a099a03644ae；完整清單請以公告本身為準。
請包含過去的安裝。幾年前已停止使用的應用程式，仍可能留在租用戶中。
停用而不要刪除，並保留證據
ConnectWise 與 Microsoft 都表示，在 ConnectWise 發布恢復說明之前，應讓受影響的連線維持停用狀態；Microsoft 也建議不要把刪除企業應用程式當作第一步。刪除會移除同意授權與稽核軌跡，而您需要這些來查看應用程式做過什麼。在做任何變更之前，請先儲存 Entra 登入記錄與稽核記錄、Purview 稽核紀錄以及 SIEM 資料。
檢查服務主體登入
查看這些應用程式的登入情況，成功與失敗分開，至少從10月15日起，最好回溯到10月1日。不要把檢查範圍限定在 ConnectWise 公布的 IP 位址：Microsoft 表示不要這樣做，ConnectWise 自己的指南也表示不要把搜尋限定在公布的 IP。ConnectWise 應用程式的正常流量來自 Azure 位址範圍，因此來自其他位置的成功登入值得進一步留意。
檢查租用戶內部發生了哪些變更
停用應用程式並不會撤銷已經做出的變更。針對上述期間，請檢查：
- 任何應用程式上您未新增的新用戶端密碼或憑證，尤其是管理與資安工具
- 新的服務主體、新的擁有者、應用程式角色與同意授權
- 目錄角色指派，特別是被授予特權角色的應用程式
- 群組以及條件式存取原則或例外項目的變更
Microsoft 指出，這類變更可在原應用程式被停用後充當重新進入的途徑。
檢查郵件與檔案活動
在 Purview 稽核記錄中，查找新的收件匣規則、轉寄到外部位址、隱藏或刪除郵件的規則、新的完全存取或代理傳送權限，以及傳輸規則的變更。對照您的團隊已核准的變更逐一確認。某個應用程式通過了驗證，本身並不能說明資料被複製；而先前未啟用的記錄，現在也無法找回。
儘速通報，並詢問您的服務供應商
若您發現意外的憑證、特權指派或可疑的成功活動，請聯絡您的事件應變服務供應商。ConnectWise 請合作夥伴將發現的情況回報至公告中提供的其資安合作夥伴支援位址，且不要附帶密碼、金鑰或權杖。若由 MSP 管理您的租用戶，請詢問對方使用過其中哪些應用程式、使用時間，以及已檢查了哪些項目。
發生了什麼事（依據 ConnectWise 與 Microsoft）
2026年10月15日
調查此事件的一家資安公司觀察到，使用該供應商應用程式憑證的未經授權登入出現主要高峰（依據該公司的報告）。10月16日
ConnectWise 首次發布公告。該資安公司回報，截至 UTC 19:00，有 162 個租用戶出現未經授權的登入。10月17日
ConnectWise 停用了七個應用程式身分，並透過撤銷其連線所用的憑證暫停了 Cloud Backup。該公司還表示，基於預防考量暫停了 SaaS Security 與 Cloud Management（公告未提供這一步驟的時間），因此排程的備份不再執行。該資安公司後來回報，來自同一來源的登入活動涉及近 1,000 個租用戶，其中 300 多個成功。10月19日
ConnectWise 完成了對受影響的 Cloud Backup 環境中所有帳號與憑證的全面重設。10月21日
Microsoft 發布研究文章。ConnectWise 更新公告，表示根據其證據以及 Microsoft 的威脅情資，一個與中國國家有關聯的組織似乎應對此負責。10月28日
Microsoft 365 備份開始分階段恢復，透過一個新應用程式進行，合作夥伴必須在每個租用戶中重新授權。10月29日
公告的最新更新。恢復仍在進行；ConnectWise 重申，已停用的應用程式必須維持停用，除非其另行通知。
- 服務
- Cloud Backup（原 SkyKick），透過 MSP 銷售的 Microsoft 365 備份服務。Cloud Management 與 SaaS Security 因與其相連而基於預防考量被暫停
- 備份封存檔
- ConnectWise：現有封存檔仍處於加密與隔離狀態，沒有遭入侵的跡象
- 客戶租用戶
- ConnectWise：調查結果無法確定合作夥伴或客戶的 Microsoft 365 環境是否受到影響。Microsoft：受影響的應用程式或一次成功的登入，並不一定代表資料被存取
- 歸因
- ConnectWise 引用 Microsoft 的威脅情資：一個與中國國家有關聯的組織似乎應對此負責。Microsoft 的評估與此一致
- Microsoft 系統
- Microsoft 表示，此活動並非因其自身系統、產品或服務遭入侵或存在漏洞所致
- ConnectWise 其他產品
- ConnectWise 表示，沒有跡象顯示被暫停的三項服務之外的產品受到影響
用白話談談 AI 這一面
Microsoft 表示，該組織使用了 ARTEX，這是一個由多個協作的 AI 代理組成的開源工具。它可搭配任何 AI 模型，並能在幾乎不需人工參與的情況下自行完成資安測試，從摸清目標到讀取資料。Microsoft 指出，10月的公開報導還將同一工具與南韓金融機構的資料外洩連結起來（請參閱本站關於這些外洩事件的文章），且多個地區的行為者都在使用它。
Microsoft 所描述的，是與以往相同的一批弱點，只是被更快地利用。Microsoft 表示，在供應商憑證被濫用之後，該工具被用於嘗試登入超過 2,250 個租用戶，並在取得存取權限後，逐項排查目錄與應用程式設定。Microsoft 並未提供這些嘗試的每分鐘速率。另外，它還描述了10月10日至14日針對八個組織的 327 個帳號進行的密碼猜測，產生了超過 151,000 次失敗登入，10月11日達到高峰，每分鐘 2,900 次失敗，該活動中沒有成功的登入。對防禦方而言，實際影響是從首次接觸到取得特權存取的間隔縮短，因此對新憑證與角色變更發出警示，比一週後再回頭查看記錄更重要。關於 AI 驅動入侵的更全面情況，請參閱Hugging Face 入侵事件的文章。
供應商應用程式憑證被濫用
↓→
該應用程式是否仍以任何名稱存在於您的租用戶中？
→ 依應用程式 ID 搜尋，包括舊的安裝
應用程式被授予角色並新增了密碼（Microsoft、資安公司）
↓→
是否有應用程式帶有您未新增的憑證或角色？
→ 檢查所有應用程式的憑證與目錄角色
不到三小時即取得存取權限（Microsoft）
↓→
您能在當天而不是下週得知出現了新憑證嗎？
→ 對新密碼與角色變更發出警示
已知與未知的內容
狀態截至2026年10月30日。隨著 ConnectWise 與 Microsoft 發布更多資訊，我們將更新狀態一欄。
| 項目 | 兩家機構的說法 | 狀態 |
|---|---|---|
| Cloud Backup 應用程式憑證遭未經授權存取 | ConnectWise 公告，首次發布於10月16日 | 已確認（ConnectWise） |
| 七個應用程式身分被停用，憑證被撤銷 | 10月17日 | 已確認（ConnectWise） |
| 受影響環境中的所有帳號與憑證被重設 | 10月19日 | 已確認（ConnectWise） |
| 備份封存檔被存取 | 沒有遭入侵的跡象 | 未發現（ConnectWise） |
| 客戶的 Microsoft 365 租用戶受到影響 | 調查結果無法確定是否受到影響 | 調查中 |
| 被 AI 驅動的登入嘗試當作目標的租用戶 | 超過 2,250 個 | 已確認（Microsoft），屬嘗試而非入侵 |
| 出現未經授權登入的租用戶 | 截至10月16日為 162 個；後來來自同一來源的成功登入超過 300 次 | 已回報（資安公司） |
| 取得特權存取 | 在許多組織中，未提供數量；部分在三小時內 | 已確認（Microsoft） |
| 任何租用戶的資料被複製 | 未說明；Microsoft 提醒僅憑登入並不能說明這一點 | 未揭露 |
| 憑證最初是如何取得的 | 未說明 | 調查中 |
| 責任方 | 與國家有關聯的組織 | 評估（ConnectWise、Microsoft） |
| 恢復 | 自10月28日起分階段進行，新應用程式，需要重新授權 | 進行中 |
如何解讀這些數字：三種計數，三種含義
2,250 是被當作目標的租用戶數。162 是某一天確認出現未經授權登入的租用戶數。「300 多」是更大範圍內來自同一來源的成功登入次數。它們都不是資料被竊取的計數，也都不是受害者總數。
為什麼一個備份應用程式會牽涉眾多企業
多租用戶應用程式透過一組憑證運作，每個客戶租用戶都已核准這組憑證。持有這組憑證的人，可以嘗試同時在所有這些租用戶中以該應用程式的身分登入。備份工具通常持有廣泛的讀取權限，這既是它們有用的原因，也是它們值得認真審查權限的原因。這與先前一些事件的形態相同：入口是受信任的供應商連線，而不是客戶自己的員工。相關案例請參閱2026年資料外洩與網路攻擊一覽。
給管理員與 MSP：審查持有廣泛存取權限的應用程式
本節是本站自己的一般性建議，並非 ConnectWise 或 Microsoft 的建議。其中一些要點，例如限制應用程式管理員權限、條件式存取例外項目、工作負載身分保護與 MFA，超出了兩家機構所公布的內容。本節也不是對憑證如何被取得的評估，這一點尚未揭露。
- 列出所有擁有目錄或郵件權限的第三方應用程式，記錄其擁有者與存在的原因，並移除無人能解釋的應用程式
- 限制誰持有應用程式管理員角色，因為該角色可以為應用程式新增憑證
- 對新的用戶端密碼或憑證，以及任何被指派了目錄角色的應用程式發出警示
- 檢查讓應用程式繞過以位置為基礎的封鎖的條件式存取例外項目
- 對人員強制啟用多重要素驗證，並對應用程式使用工作負載身分保護，因為應用程式登入不使用 MFA
- 了解您最後一個可用的備份時間點。在 Cloud Backup 暫停期間，檢查您的保護空窗期有多長，並參閱備份與復原要點，了解如何保留一份由您自己掌控的副本
參考來源（公開紀錄）
- ConnectWise，《Cloud Backup（原 SkyKick）安全公告，2026年10月》（首次發布於2026年10月16日，最後更新於2026年10月29日，英文）— connectwise.com
- Microsoft Threat Intelligence，《AI 驅動的大規模國家級行動利用 ARTEX 實現供應鏈入侵》（2026年10月21日，英文）— microsoft.com
- 一家資安公司關於使用該供應商憑證進行未經授權登入的調查報告（更新至2026年10月27日，英文）— huntress.com
更新紀錄
2026-10-30：首次發布，依據 ConnectWise 於10月29日更新的公告與 Microsoft 10月21日的研究文章。兩者任何一方發布更多資訊時，我們將更新本文。
延伸閱讀
- 同一工具，不同的受害者：7 家南韓金融機構的資料外洩
- AI 驅動的入侵：Hugging Face 入侵事件與自主 AI 代理
- 防禦：多重要素驗證指南 / 備份與復原要點
- 2026年其他事件：2026年資料外洩與網路攻擊一覽