Sok kis- és középvállalkozásnál a Microsoft 365 levelezését és fájljait az IT-partner menti, egy felhős mentőszolgáltatással. Ehhez a mentőalkalmazás széles hozzáférést kap a bérlőhöz, vagyis a cég Microsoft 365-környezetéhez. Most éppen egy ilyen alkalmazás kulcsa került illetéktelen kézbe: a ConnectWise Cloud Backupé, amelyet korábban SkyKick néven forgalmaztak.

A támadás kiterjedéséről szóló számok egyetlen forrásból, a Huntress amerikai biztonsági cég saját méréséből származnak. Független megerősítésük lapzártánkig, október 18-ig nem jelent meg. A támadás módját viszont azóta egy másik biztonsági cég, a Todyl is igazolta a saját ügyfeleinél, és a ConnectWise, valamint a Microsoft is megerősítette, hogy a kulccsal visszaéltek.

Mi történt?

A Huntress október 16-i elemzése szerint a ConnectWise Cloud Backup Microsoft 365-alkalmazásának titkos hitelesítő adata a támadók kezébe került. Ezzel a mentőalkalmazás nevében tudtak bejelentkezni azokba a bérlőkbe, ahol az alkalmazás telepítve van, és ugyanazokat a jogosultságokat kapták meg, amelyeket az ügyfél korábban a mentéshez megadott.

A Huntress szerint a bejelentkezések október 15-én, magyar idő szerint 8 óra 13 perc és 10 óra 34 perc között történtek egy tárhelyszolgáltatói IP-címről. A támadók a bérlőazonosítók sorrendjében haladtak, ami a cég értékelése szerint előre összeállított célpontlistával dolgozó szkriptre utal. A Huntress október 16-án 21 órára (magyar idő) 162 bérlőben igazolta a jogosulatlan bejelentkezést. Október 17-i frissítésében már arról írt, hogy közel 1000 Entra-bérlőben látott bejelentkezési kísérletet a támadó IP-címéről, és ezek közül több mint 300 volt sikeres. A cég hozzáteszi, hogy ahol a mentőalkalmazás nem volt telepítve, ott a sikeres bejelentkezés ellenére sem jutott a támadó hozzáféréshez.

A Todyl október 16-i elemzése kilenc általa felügyelt bérlőben ugyanezt a mintát találta: október 15-én, magyar idő szerint 9 óra 11 perc és 10 óra 47 perc között bérlőnként egy-egy automatizált bejelentkezés történt a mentőalkalmazás nevében, ugyanarról az IP-címről, bérlőazonosító-sorrendben.

A Microsoft Threat Intelligence október 17-én délelőtt aktív ellátásilánc-támadásnak nevezte az esetet. A Microsoft szerint a támadó valószínűleg az ügyfelek által korábban megadott jogosultságokkal élt vissza, köztük a nagyon magas szintű Directory.ReadWrite.All engedéllyel. A cég leírása szerint október 15-én „széles körű, sikeres” alkalmazás-bejelentkezések történtek. Ezeket a Microsoft Graph felületen végzett felderítés követte, valamint kísérletek arra, hogy a támadó a célbérlőkben további hitelesítő adatot adjon az alkalmazáshoz, és így hátsó ajtót nyisson.

Mit tett a ConnectWise?

A ConnectWise október 16-án este, magyar idő szerint 19 óra 47 perckor tett közzé első közleményt, október 17-én reggel pedig minden ügyfélnél leállította a Cloud Backup szolgáltatást. Október 18-i, magyar idő szerint hajnali 3 órás frissítése szerint október 17-én 9 órakor (magyar idő) hét alkalmazásidentitását letiltotta: a Cloud Backupot és a Cloud Management hat alkalmazását, köztük az Exchange Online, a Microsoft Teams, a SharePoint Online, a Microsoft Graph és a Partner Center kezelésére szolgálókat.

A gyártó ugyanakkor három fontos korlátot is leírt. A letiltás csak az új bejelentkezést akadályozza meg, a bérlőkben korábban elvégzett változtatásokat nem fordítja vissza. A már kiadott hozzáférési tokenek a lejáratukig még használhatók maradhatnak, ez a Todyl szerint legfeljebb 90 perc. A külön identitásokon keresztül létrehozott jogosulatlan hitelesítő adatokat, jogosultságokat és más hozzáféréseket pedig külön kell felülvizsgálni és megszüntetni.

A ConnectWise elővigyázatosságból a SaaS Security és a Cloud Management szolgáltatását is leállította, így ezeken keresztül a biztonsági riasztás, valamint a felhasználó- és licenckezelés sem működik. A mentés továbbra is szünetel, helyreállítási időpontot a cég nem adott meg. Az újrakapcsolásról vagy újraengedélyezésről akkor ad utasítást, ha azt a vizsgálat igazolta. A titkosított mentési archívumokhoz való hozzáférésre a gyártó szerint nincs bizonyíték. Hogy a kulcs hogyan szivárgott ki, és szerepet játszott-e benne termékhiba, a cég szerint még vizsgálják.

Hátsó ajtó egy bérlőben

A Huntress egy ügyfélbérlőben ennél súlyosabb lépéseket is látott. Október 15-én hajnalban, magyar idő szerint 5 óra 44 perc és 5 óra 49 perc között egy másik ConnectWise-alkalmazás, a Microsoft Teamshez tartozó ConnectWise Cloud Management, globális rendszergazdai szerepkört adott magának. Ezután két másik alkalmazáshoz adott új titkos kulcsot: egy IT-szolgáltatói kezelőeszközhöz és magához a Huntress biztonsági alkalmazásához. Az új kulcsok 2028-ig lettek volna érvényesek.

Ez azért veszélyes, mert az így elhelyezett kulcs a ConnectWise saját kulcsának cseréje után is működik. Aki birtokolja, az érintett alkalmazás nevében, annak összes jogosultságával bárhonnan bejelentkezhet. A Huntress október 17-i frissítése szerint a saját alkalmazásához adott kulccsal hétszer, gyors egymásutánban be is jelentkeztek. A cég a kulcsot október 16-án eltávolította.

Ezt a lépéssort a Huntress egyetlen bérlőben igazolta, és a hozzáférés nem a támadó ismert IP-címéről, hanem a Microsoft felhőjén belüli, privát Azure-címtartományból érkezett. Ugyanebből a tartományból a ConnectWise jogszerű forgalma is jön, ezért a cím önmagában nem azonosítja, ki állt a művelet mögött. A Huntress október 17-i frissítése szerint nagy valószínűséggel hat ConnectWise-alkalmazással éltek vissza: a Cloud Backup mellett az Exchange Online, a Microsoft Teams, a SharePoint Online, a Microsoft Graph és a Partner Center kezelésére szolgálóval.

Egy második, célzott hullám

A Huntress október 17-én egy második hullámot is leírt ugyanarról az IP-címről. Október 15-én, magyar idő szerint 11 óra 25 perc és 14 óra 35 perc között 16 általa védett bérlőt próbáltak meg elérni, sikertelenül. A célpontok a szakpolitikai, nemzetbiztonsági, kereskedelmi és kritikus nyersanyag-ágazatban működnek, és többségük egyáltalán nem használ ConnectWise-terméket. Ahol a mentőalkalmazás nem volt telepítve, ott a kísérlet eleve meghiúsult. Ugyanezeket a bérlőket magyar idő szerint 15 óra 54 perc és 16 óra 20 perc között újra támadták, a Huntress szerint ezúttal valószínűleg kézi irányítással, több Microsoft-szolgáltatás felé is.

Miért nem véd az MFA?

A többfaktoros azonosítás (MFA) emberek bejelentkezését védi: jelszó mellé egy második lépést kér, például egy telefonos jóváhagyást. Itt viszont nem ember jelentkezett be, hanem egy alkalmazás, a saját titkos kulcsával. A Huntress megfogalmazásában az ilyen, csak alkalmazásszintű bejelentkezésnél nincs felhasználó, nincs eszköz és nincs MFA-kérés. A munkatársak jelszavának cseréje sem segít, mert a támadó nem az ő fiókjukat használja.

Ugyanezért nem látszik ott, ahol a legtöbben keresnék. Az alkalmazások bejelentkezése a Microsoft Entra felületén nem a felhasználói bejelentkezések között, hanem egy külön lapon, a szolgáltatásnév-bejelentkezések (Service principal sign-ins) között jelenik meg.

Mit mutat a mérés?

  • A ConnectWise Cloud Backup kulcsával október 15-én jogosulatlanul jelentkeztek be ügyfélbérlőkbe. Ezt a Huntress és a Todyl egymástól függetlenül, a bérlők Microsoft-naplóiból igazolta, a Microsoft és a ConnectWise is megerősítette.
  • A Huntress október 16-án 21 óráig 162 bérlőben látott ilyen bejelentkezést, október 17-én pedig közel 1000 bérlőben látott kísérletet a támadó IP-címéről, közülük több mint 300 sikerest. Ezek a Huntress saját mérései, nem a teljes érintett kör.
  • Egy bérlőben egy másik ConnectWise-alkalmazás globális rendszergazdává tette magát, és két további alkalmazáshoz kulcsot adott. A Microsoft is leírt hátsó ajtó létrehozására irányuló kísérleteket.
  • A támadó a bejelentkezéssel hozzáférési tokent kapott. Ezzel a bérlőben megadott jogosultságoktól függően hozzáférhetett a levelekhez, a OneDrive- és SharePoint-fájlokhoz, a Teams-adatokhoz és a címtárhoz.

Mi nem következik belőle?

Abból, hogy a támadó hozzáférési tokent kapott, nem következik, hogy minden érintett bérlőből adatot is vitt el. A Todyl a kilenc vizsgált bérlőben nem talált a mentőalkalmazáson keresztül végzett címtár-módosítást. Azokban a bérlőkben, ahol nem volt élő mentési előfizetés, a token megszerzése után levél- vagy fájlolvasásnak sem volt nyoma. Ahol volt, ott az olvasások nem választhatók szét, mert a jogszerű mentés és a támadó ugyanazzal az alkalmazásidentitással dolgozik. A Huntress és a ConnectWise is hangsúlyozza, hogy egy sikeres bejelentkezés önmagában nem bizonyít adatmásolást, egy tiszta naplókeresés viszont nem zárja ki azt, ami a naplóba be sem került. A Huntress külső beszámolókat is kapott kézi támadói tevékenységről, ezeket maga sem ellenőrizte.

A második hullám célpontjainak ágazati köre sem azonosítja a támadót. Lapzártánkig, október 18-ig sem a Microsoft, sem a ConnectWise, sem a Huntress nem nevezte meg, ki állhat a támadás mögött.

Az sem következik belőle, hogy a ConnectWise mentéseiben tárolt adatok sérültek volna: a gyártó szerint erre nincs bizonyíték. A szolgáltatások leállása sem jelenti önmagában, hogy egy adott cég bérlőjét megtámadták. A gyártó megnyugtató közlése viszont az ügyfelek bérlőire nem vonatkozik: a ConnectWise maga írja, hogy az ügyfelek Microsoft 365-környezetébe nem lát bele, ezért a bérlők átvizsgálása a válaszlépések fontos része.

A naplókban látható programazonosítók (például Python-urllib, python-requests vagy curl) önmagukban nem bizonyítanak semmit, a ConnectWise szerint ezeket jogszerű rendszergazdák is használják. A gyanús IP-cím hiánya sem felmentés, hiszen a Huntress által látott hátsó ajtót éppen nem erről a címről nyitották. Magyar érintettről lapzártánkig, október 18-ig nem tudunk, és a Nemzeti Kiberbiztonsági Intézet (NKI) riasztásai között sem jelent meg erről figyelmeztetés.

Mit tegyen egy KKV?

A döntő kérdés egyszerű: van-e a cég Microsoft 365-bérlőjében ConnectWise vagy SkyKick alkalmazás. Ezt a legtöbb KKV vezetője nem tudja fejből, mert az alkalmazást jellemzően az IT-partner telepítette. A ConnectWise is kifejezetten kéri, hogy a régóta nem használt, „alvó” SkyKick-kapcsolatokat is nézzék át. Az alábbi lépések a ConnectWise október 18-i útmutatójából, valamint a Huntress, a Todyl és a Microsoft ajánlásaiból állnak össze.

  1. Kérdezze meg az IT-partnerét, fut-e a bérlőben ConnectWise vagy SkyKick alkalmazás. Az azonosításhoz az alkalmazásazonosító a biztos, mert a megjelenő név a régebbi bérlőkben „SkyKick Cloud Manager” is lehet. A ConnectWise által letiltott hét azonosító:
    • ConnectWise Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae
    • ConnectWise Cloud Management: 2399d300-6fca-4e6a-a686-399fefe75b83
    • Cloud Management, MS Teams: 24205314-2b89-4e07-a2a4-579e898a5640
    • Cloud Management, Exchange Online: b78f6a77-d4e5-46fb-87e5-d1648bd02519
    • Cloud Management, MS Graph: 0de14c77-b9b0-4137-9360-34878a929827
    • Cloud Management, Partner Center: 412dcf96-176d-4b3a-a1b0-4981ad66971e
    • Cloud Management, SharePoint Online: b2b55f5b-7758-4719-8d8f-88ae172e6bdb
  2. A gyártói letiltás mellett a saját bérlőjükben is tiltsák le ezeket, de ne töröljék. A ConnectWise szerint a gyártói lépés és a bérlő helyi beállítása két különböző védelem. A Microsoft Entra felügyeleti központban az Enterprise applications között az alkalmazás Properties lapján az „Enabled for users to sign-in?” beállítást kell „No” értékre állítani. Törlésnél elveszne a beállítás és vele a bizonyíték is.
  3. Mentsék a naplókat most, a letiltással párhuzamosan. A Microsoft szerint Entra ID P1 vagy P2 licenc nélkül a bejelentkezési és auditnaplók csak hét napig maradnak meg, így az október 15-i bejegyzések október 22. körül eltűnhetnek. A ConnectWise az auditnaplók és a bejelentkezési naplók kategóriánkénti exportját, valamint a Microsoft Purview auditadatok mentését javasolja.
  4. Nézzék át a bejelentkezéseket október 13-tól, ha a naplók engedik, október 1-ig visszamenőleg. Minden bejelentkezési kategóriában keressék a 144.172.64.128 IP-címet, a szolgáltatásnév-bejelentkezésekben pedig mind a hét alkalmazásazonosítót, a forráscímtől függetlenül. A Huntress külön kéri a fenti alkalmazások október 15-én hajnali 3 óra és október 16-án hajnali 4 óra (magyar idő) közötti összes szolgáltatásnév-bejelentkezésének átnézését.
  5. Nézzék át minden alkalmazás titkos kulcsait, tanúsítványait és federált hitelesítő adatait, és töröljék azokat, amelyeket október 13. óta nem önök hoztak létre. A letiltás a már elhelyezett kulcsokat nem távolítja el, és egy új, jogszerű kulcs sem írja felül a támadóét.
  6. Ellenőrizzék a szerepköröket, az alkalmazások tulajdonosait és a hozzájárulásokat (consent). Ha egy ConnectWise- vagy SkyKick-alkalmazás rendszergazdai szerepkört kapott, a letiltás után vegyék el tőle.
  7. Nézzék át a levelezést is: van-e jogosulatlan külső továbbítás, új vagy rejtett levélszabály, szállítási szabály (transport rule), illetve új teljes hozzáférési vagy „küldés másként” jog. A rejtett levélszabályok csak külön paranccsal (Get-InboxRule -IncludeHidden) látszanak.
  8. Nézzék át a feltételes hozzáférési szabályok (Conditional Access) és a megbízható helyek friss módosításait, valamint az új felhasználókat, jelszó-visszaállításokat és az új hitelesítési módszereket.
  9. Ne engedélyezzék újra az alkalmazásokat, amíg a ConnectWise ki nem adja az újrakapcsolási vagy újraengedélyezési utasítást.

A letiltásnak ára is van. Az automatikus mentés addig szünetel, a levelezés, a fájlok és a bejelentkezések viszont a Huntress szerint zavartalanul működnek, és a ConnectWise-nál tárolt korábbi mentések megmaradnak. A gyártó jelenleg sem mentést, sem visszaállítást nem végez, ezért a ConnectWise is azt javasolja, hogy mérjék fel, mikor volt az utolsó sikeres mentés, és mekkora a kiesés. Érdemes átgondolni, kell-e átmenetileg más mentési megoldás.

Ha személyes adat is érintett

Ha a vizsgálat azt mutatja, hogy a támadó hozzáférhetett személyes adatokhoz, például ügyfelek vagy munkatársak leveleihez, az adatvédelmi incidensnek minősülhet. A GDPR 33. cikke és a Nemzeti Adatvédelmi és Információszabadság Hatóság (NAIH) tájékoztatója szerint az adatkezelő az incidenst indokolatlan késedelem nélkül, és ha lehetséges, legkésőbb 72 órával a tudomásszerzés után köteles bejelenteni a NAIH-nak, kivéve, ha az valószínűsíthetően nem jár kockázattal az érintettekre. Ha még nem áll minden információ rendelkezésre, a NAIH szakaszos bejelentést is lehetővé tesz.

A kiberbiztonsági törvény (2024. évi LXIX. törvény) hatálya alá tartozó szervezeteknek ezen felül azt is mérlegelniük kell, hogy bejelentésköteles kiberbiztonsági incidensről van-e szó. A határidők a végrehajtási rendelet szerint 24 óra az első bejelentésre és 72 óra az eseménybejelentésre, a tudomásszerzéstől számítva.

Gyakori kérdések

Honnan tudom, hogy érint-e a cégemet?

Abból, hogy van-e a Microsoft 365-bérlőjükben ConnectWise Cloud Backup vagy más ConnectWise, illetve SkyKick alkalmazás. Ezt az IT-partnere vagy a rendszergazdája a Microsoft Entra felügyeleti központban az alkalmazásazonosítók alapján néhány perc alatt meg tudja nézni.

A ConnectWise letiltotta az alkalmazásokat. Nekünk még kell tennünk valamit?

Igen. A gyártói letiltás csak az új bejelentkezéseket állítja meg. A bérlőben addig létrehozott kulcsokat, szerepköröket, levélszabályokat és más hozzáféréseket nem szünteti meg, ezeket a cégnek vagy az IT-partnerének kell megkeresnie és eltávolítania. A ConnectWise azt is kéri, hogy a helyi letiltást a saját bérlőjükben is ellenőrizzék.

Elég lecserélni a jelszavakat, vagy bekapcsolni az MFA-t?

Nem. A támadó nem egy munkatárs fiókjával, hanem a mentőalkalmazás saját kulcsával jelentkezett be, ezért sem a jelszócsere, sem az MFA nem állítja meg. Az alkalmazást kell letiltani, és át kell nézni az alkalmazásokhoz hozzáadott kulcsokat.

Mi történik a mentéseinkkel, ha letiltjuk az alkalmazást?

Az automatikus mentés szünetel, a korábbi mentések a ConnectWise szerint megmaradnak. A gyártó a szolgáltatást október 17-én egyébként is leállította, a visszaállítás jelenleg nem érhető el.

Kell-e bejelenteni a NAIH-nak?

Akkor, ha a vizsgálat személyes adatokat érintő incidenst tár fel, és az kockázattal járhat az érintettekre. A GDPR szerint a bejelentés határideje, ha lehetséges, a tudomásszerzéstől számított 72 óra. Önmagában az, hogy az alkalmazás telepítve volt, még nem incidens.

Döntési szabály

A ConnectWise szerint a saját környezetében a védekező lépések óta nem volt újabb sikeres támadói tevékenység, és a hét érintett alkalmazást október 17-én letiltotta. Ez a gyártói oldalt zárja le, a bérlőkét nem: a ConnectWise maga írja, hogy az ügyfelek bérlőibe nem lát bele, és a bennük végrehajtott változtatásokat a letiltás nem fordítja vissza. Hatósági állásfoglalás lapzártánkig, október 18-ig nem jelent meg. Ilyen helyzetben a szigorúbb ajánlás az irányadó: ha a cég bérlőjében van ConnectWise vagy SkyKick alkalmazás, tartsák helyben is letiltva, mentsék a naplókat, nézzék át a kulcsokat, a szerepköröket és a levélszabályokat, és csak a ConnectWise kifejezett újraengedélyezési utasítása után kapcsolják vissza. Ha személyes adatokhoz való hozzáférés igazolódik, a tudomásszerzéstől számított 72 órán belül döntsenek a NAIH-bejelentésről.

Frissítve 2026. október 18-án: a ConnectWise október 17-én hét alkalmazását letiltotta, és részletes ellenőrzési útmutatót adott ki. A Huntress új adatokat közölt a támadás kiterjedéséről és egy második, célzott hullámról, a Todyl pedig egymástól független elemzésben megerősítette a támadás módját.

Bővült az ellenőrzőlista: levéltovábbítás, rejtett levélszabályok és az október 1-ig visszamenő naplókeresés.

Források