ConnectWise云备份遭供应链攻击：至少162个M365租户被入侵，服务已暂停

安全公司Huntress证实，攻击者利用窃取的应用程序凭证绕过用户端多因素认证，直接以受信应用身份读取邮件、文件与Teams聊天内容，波及范围可能远超已确认数字。

10月16日，IT管理软件厂商ConnectWise披露其云备份服务（Cloud Backup，前身为SkyKick）遭遇未授权访问。攻击者窃取了该服务用于向客户Microsoft 365租户认证的应用程序身份凭证，进而以合法应用的身份登入受害企业的M365环境。

安全公司Huntress在事件曝光后迅速发布分析报告，确认至少 162个Microsoft 365租户 出现了来自攻击者IP的未授权登录。Huntress进一步指出，其在后续排查中发现近 1000个Entra租户 的活动记录与攻击者使用的IP地址 144.172.64[.]128 相关，其中超过300次登录成功。由于该凭证在所有已授权该应用的租户中均有效，实际受影响范围可能继续扩大。

攻击机制：绕过MFA的“应用身份”滥用

此次事件的核心风险在于攻击路径的特殊性。ConnectWise Cloud Backup作为备份服务，需在客户M365租户中被授予广泛权限，以访问Exchange Online邮箱、OneDrive与SharePoint文件、Teams聊天记录及目录数据。攻击者获取的是该应用自身的凭证（客户端断言/密钥），而非任何用户的账号密码。

这意味着，当攻击者使用该凭证向微软Entra ID请求访问令牌时，微软将其视为合法的受信应用，从而依据该应用已有的权限授予访问权。用户层面的多因素认证、条件访问策略或会话管控对此类“应用专属”认证 完全无效 。Todyl的分析进一步指出，撤销用户会话无法终止这种访问，因为令牌是颁发给应用而非用户的。

持久化尝试与二次风险

更令租户管理者警惕的是，攻击者在至少一个租户中展现了建立持久化访问的能力。据Huntress描述，另一个ConnectWise应用（Cloud Management – MS Teams）将自己添加为 全局管理员 角色，随后通过Python脚本向租户内另外两个受信应用——一个MSP管理工具和Huntress自身的安全平台应用——添加了新的客户端密钥，有效期设置至 2028年 。

这一操作的危险性在于：即便ConnectWise轮换了自身泄露的凭证，攻击者植入在租户内其他应用上的密钥仍可独立用于认证，从而维持访问权限。Huntress表示已移除其自身应用上的未授权凭证，并启用了应用实例属性锁。ConnectWise方面也承认，禁用其应用连接“不会逆转租户内此前已发生的更改”。

厂商响应与当前状态

ConnectWise于10月17日撤销了受影响的应用凭证，并暂停了Cloud Backup、SaaS Security及Cloud Management三项服务的访问。公司首席技术官David Raissipour在接受CRN采访时表示，备份数据本身“零证据”显示被访问，所有备份数据均加密存储且与认证身份分离。但他同时承认，由于设计上无法直接观测客户租户内部，ConnectWise无法判断具体哪些客户的M365环境遭到了实际访问。

截至10月19日，Raissipour称已在超过24小时内未观察到环境中的可疑活动，并表示“看到了隧道尽头的光”。但服务恢复时间尚未确定，公司表示需要完成凭证轮换与环境清理后才会重新上线。在服务暂停期间，计划备份无法运行，受影响归档的恢复功能亦不可用。

租户侧应对建议

安全厂商建议所有使用ConnectWise Cloud Backup或相关服务的企业立即采取以下措施：

禁用而非删除应用 。在Microsoft Entra管理中心将ConnectWise Cloud Backup（应用ID 506e08f9-6e9a-4da4-942b-a099a03644ae）的“启用用户登录”设为“否”。删除应用会移除授权同意，恢复服务时需重新授权。

检查服务主体登录日志 。在Entra登录日志中切换至“服务主体登录”标签页，按上述应用ID筛选，排查来自非微软/Azure IP范围的认证记录，重点关注 144.172.64[.]128。

审查所有应用的凭证变更 。检查Entra审计日志中自10月13日以来新增的客户端密钥或证书，尤其是那些由ConnectWise或SkyKick应用发起的对其他应用的修改。Huntress观察到攻击者使用的用户代理为 Python-urllib/3.12，而ConnectWise应用正常的Graph调用使用.NET SDK用户代理。

检查目录角色分配 。确认是否有ConnectWise或SkyKick应用被授予了全局管理员或特权身份验证管理员等角色，移除任何非有意授予的权限。

此次事件与传统的漏洞利用或钓鱼攻击有本质区别：没有CVE编号，没有恶意软件，攻击者手中握有的是一把本就插在门上的钥匙。对于依赖第三方SaaS工具管理M365环境的企业而言，应用权限的治理与监控，其紧迫性已不再亚于用户账号的安全防护。

本文来源：国家网信办，企业安全中心

主笔专家：杨良斌

责任编辑：编辑部-张景辰

最后更新时间：2026年10月21日