ConnectWise heeft de ConnectWise Cloud Backup tijdelijk uitgeschakeld nadat aanvallers mogelijk Microsoft 365 tenants hebben gecompromitteerd via misbruik van application identities. De leverancier gaat nog steeds door met onderzoek, maar heeft al meerdere digitale verbindingen van ConnectWise-apps geblokkeerd en aanvullende diensten gepauzeerd uit voorzorg.
Dit incident is extra gevoelig omdat het niet draait om het stelen van wachtwoorden van eindgebruikers. In plaats daarvan kunnen gestolen app-credentials worden gebruikt om zich als de app te authenticeren bij Microsoft Entra ID en vervolgens toegang te verkrijgen op basis van bestaande permissies.
Wat ConnectWise heeft uitgeschakeld
ConnectWise meldde dat het zeven application identities heeft disabled gemaakt. Het doel: voorkomen dat er nieuwe authenticatie plaatsvindt via de getroffen app-verbindingen. Daarbij is belangrijk dat het uitzetten niet automatisch alle eerder aangebrachte wijzigingen in een tenant ongedaan maakt.
Onder de geblokkeerde identities valt onder meer de service:
- ConnectWise Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae)
Daarnaast zijn ook ConnectWise Cloud Management gerelateerde app-identiteiten uitgezet, inclusief onderdelen voor o.a. MS Teams, Exchange Online, MS Graph, Partner Center en SharePoint Online.
ConnectWise gaf aan dat het de maatregel op 17 oktober 2026 (07:00 UTC) heeft genomen, samen met het intrekken van certificaten die nodig zijn voor de betreffende app-verbindingen. Daardoor worden shared backup-credentials ongeldig, terwijl eerder uitgegeven access tokens tot hun vervaldatum bruikbaar kunnen blijven.
Waarom dit gevaarlijk kan zijn voor Microsoft 365 tenants
De kern van het risico zit in de manier waarop een aanvaller kan “meeliften” op de rechten van een geautoriseerde applicatie. Zodra app-credentials eenmaal zijn gecompromitteerd, kan een aanvaller zich als die applicatie authenticeren bij Microsoft Entra ID. Vervolgens kan de aanvaller access tokens aanvragen die passen bij de permissies die aan de app zijn gekoppeld.
Afhankelijk van die permissies kan de impact verder reiken dan alleen backupdata. Microsoft 365-gebieden die daarbij in het vizier kunnen komen, zijn bijvoorbeeld mailboxes, SharePoint-documenten, Teams-berichten en directory-informatie.
ConnectWise benadrukte ook een scenario dat het incident des te harder maakt: met brede rechten voor backup- en beheertaken kan een gestolen credential worden gebruikt om aanvullende toegang te creëren. In de melding wordt beschreven dat een aanvaller de app kan toevoegen aan rollen met hoge privileges (zoals Global Administrator), client secrets kan introduceren bij andere vertrouwde applicaties in dezelfde tenant, en zelfs nieuwe applicaties kan aanmaken en rechten kan toekennen.
Deze handelswijze werkt als een vorm van persistentiemechanisme: zelfs als de oorspronkelijke, gestolen credential later wordt ingetrokken, kan de aanvaller via nieuw aangemaakte geheimen opnieuw toegang terughalen.
Backups en archives: wat blijft er veilig?
ConnectWise geeft aan dat geplande backups niet meer draaien en dat toegang tot backuparchieven en herstelmogelijkheden tijdelijk onbeschikbaar is. Tegelijk zegt het bedrijf dat bestaande archives versleuteld, geïsoleerd en behouden blijven.
Cruciaal is dat ConnectWise stelt dat er op dat moment geen aanwijzingen zijn dat de archives door de aanvallers zijn benaderd of gecompromitteerd. Het is wel aan te raden om dit in individuele klantomgevingen te verifiëren, omdat ConnectWise zelf ook aangeeft de status van downstream tenants niet direct te kunnen waarnemen.
Wanneer het probleem is ontdekt en hoe de aanval zich mogelijk ontvouwde
ConnectWise zegt het issue op 14 oktober 2026 te hebben geïdentificeerd via “advanced cybersecurity monitoring and diligence”. Daarna heeft het bedrijf interne en externe incidentonderzoek- en responsonderdelen geactiveerd.
Volgens ConnectWise is er sinds de mitigaties geen succesvolle dreigingsactiviteit waargenomen in omgevingen die zij monitoren. Wel is daarbij herhaald dat dit niet automatisch bewijst dat klanttenants niet zijn geraakt.
Huntress (managed security service provider) meldde dat er oorspronkelijk op 15 oktober 2026 malicious sign-ins zijn gezien vanaf het oorspronkelijke adres, met gerichte, handmatige activiteit die doorliep tot ongeveer 14:20 UTC. Ook werd een “tweede gerichte golf” van pogingen waargenomen vanuit een specifiek IP-adres: 144.172.64[.]128. Die pogingen richtten zich op een smalle set van 16 tenants in sectoren als policy, national security, trade en critical minerals.
Extra activiteit via andere apps mogelijk
Huntress gaf aan dat er geen nieuwe kwaadaardige activiteit is vastgesteld sinds 15 oktober, maar waarschuwt dat de stop mogelijk niet het gevolg was van de openbare bekendmaking.
De beveiligingspartij zegt met hoge mate van vertrouwen te hebben vastgesteld dat ook ConnectWise Cloud Management-apps zijn gericht op Exchange Online, Microsoft Teams en SharePoint. In één tenant is misbruik van de Teams-app bevestigd. Interessant detail: deze apps lijken volgens Huntress niet allemaal door ConnectWise te zijn uitgeschakeld, waardoor aanvullende activiteiten nog mogelijk zijn en doorlopend onderzoek nodig is.
Aanbevolen acties voor partners en beheerders
Huntress adviseert partners om zowel de eigen tenant als die van klanten te controleren. Richt je daarbij op zowel de identiteit van de ConnectWise-app-verbindingen als op verdachte auth- en toegangsveranderingen.
1) Controleer accounts, app-verbindingen en disabling-status
- Bekijk de status van de getroffen application connections (inclusief eventuele “dormante” SkyKick-verbindingen).
- Houd de betrokken applicaties uitgeschakeld tot verder onderzoek is afgerond.
2) Zoek naar logins vanuit het verdachte IP-adres
- Review sign-ins vanaf 13 oktober 2026 tot het moment van nu.
- Specifiek: let op activiteit die startte vanuit 144.172.64[.]128.
- Bewaar sign-in- en auditrecords voordat je containment-stappen uitvoert.
3) Herzie permissies, authenticatie en vertrouwensrelaties
- Controleer application authenticatie, app-credentials en federation trusts.
- Beoordeel directoryrollen, application owners en recente beleidswijzigingen.
- Check consent grants en app-registraties die recent zijn aangepast of toegevoegd.
4) Kijk gericht naar mailbox- en rule-abuse
- Controleer mailbox forwarding, inbox- of transportregels en gedelegeerde mailboxtoegang.
- Onderzoek bovendien andere identiteiten die tijdens verdachte activiteiten zijn gewijzigd of gebruikt.
Huntress merkt op dat sommige Entra-controles schade kunnen beperken. Denk aan beleid dat client secrets op app-registraties beperkt of blokkert en dat credential-lifetimes verkort. Ook helpt het om het aantal beheerdersrollen te beperken (bijvoorbeeld wie Application Administrator en Cloud Application Administrator mag zijn).
Verder kunnen maatregelen zoals Conditional Access voor workload identities (met extra licensing) beperken waarvandaan een app mag inloggen. Microsoft Entra ID Protection kan risico’s bij service principals signaleren. Dit zijn echter aanvullende beschermingslagen; ze vervangen niet het grondig herzien van credentials en toestemmingen.
Wat je nu het beste praktisch doet
Als je als partner of beheerder met ConnectWise werkt, is de snelste stap doorgaans niet “wachten tot het voorbij is”, maar het consolideren van bewijs en het reduceren van toegang. Disable affected apps, verifieer authenticatielogs en voer vervolgens een gerichte analyse uit van permissions en mogelijke persistence-mechanismen.
Daarbij geldt: bewaar eerst relevante audit- en sign-ininformatie. Pas daarna ga je containment doorvoeren, zodat je onderzoek en eventuele rapportage richting interne governance of compliance netjes kunt onderbouwen.
Conclusie
Het incident rond ConnectWise Cloud Backup laat zien hoe ingrijpend misbruik van app-identities kan zijn voor Microsoft 365 tenants. Door het uitzetten van ConnectWise-app verbindingen en het intrekken van certificaten probeert ConnectWise nieuwe authenticatie te blokkeren, maar eerder toegekende toegang kan nog doorlopen zolang tokens niet zijn verlopen.
Voor partners is daarom onmiddellijke controle op app-verbindingen, sign-ins, en wijzigingen in authenticatie- en toestemmingsstructuren cruciaal. Alleen zo krijg je helder of en hoe de aanval zich heeft doorgezet in eigen en klantomgevingen, en kun je gericht herstellen.
Wil je achtergrond over vergelijkbare aanvallen die via applicatie- en identiteitsmisbruik functioneren, lees dan ook: van losse alerts naar actie in je securityproces.
Bron: https://thehackernews.com/2026/10/connectwise-suspends-cloud-backup-after.html
