Aanval via ConnectWise raakt Microsoft 365-omgevingen
Een gestolen toegangscredential van ConnectWise Cloud Backup is gebruikt voor onbevoegde aanmeldingen bij klantomgevingen.
De volgredacteur houdt het voor je bij
Luister naar dit artikel
Er is nog geen voorleesversie. Vraag er een aan, dan leest een AI-stem het artikel voor.
Voorgelezen door een AI-stem.
Een aanvaller heeft misbruikgemaakt van een toegangscredential van ConnectWise Cloud Backup (voorheen SkyKick). Volgens beveiligingsonderzoekers zijn daardoor tientallen tot mogelijk honderden Microsoft 365-omgevingen benaderd; ConnectWise heeft de betrokken toepassing uitgeschakeld.
ConnectWise maakte op 16 oktober bekend dat het een beveiligingsincident onderzocht rond Cloud Backup. Het bedrijf nam daarop beschermende maatregelen en schakelde toegang tot de betrokken applicatie uit. Volgens ConnectWise wordt de dienst gebruikt door IT-dienstverleners die Microsoft 365-omgevingen van klanten beheren.
Beveiligingsbedrijf RedEye Security meldde dat een gestolen applicatiecredential is gebruikt om Microsoft Graph-tokens op te vragen. Daarmee konden aanvallers zich bij klantomgevingen aanmelden zonder dat zij voor iedere omgeving afzonderlijk een gebruikerswachtwoord hoefden te kraken.
De onderzoekers noemen 173 partner- en klantomgevingen waarin onbevoegde aanmeldingen zijn vastgesteld. Dat cijfer komt uit onderzoek van derden en is niet door ConnectWise zelfstandig bevestigd. ConnectWise zegt juist dat het geen onafhankelijke zichtbaarheid heeft in de vraag of afzonderlijke klantomgevingen daadwerkelijk ongeoorloofde activiteit hebben ondervonden.
Het bedrijf heeft partners gevraagd logboeken te controleren op ongebruikelijke aanmeldingen, nieuwe applicatiegegevens, gewijzigde machtigingen en onverwachte toegang tot mailboxen, SharePoint of andere Microsoft 365-gegevens. De aanbevelingen gelden vooral voor organisaties die Cloud Backup of de oudere SkyKick-integratie gebruiken.
De zaak laat zien hoe misbruik van een applicatiecredential van een dienstverlener kan doorwerken naar meerdere klantomgevingen. De impact is nog niet volledig vastgesteld. ConnectWise zegt vooralsnog geen aanwijzingen te hebben dat back-upgegevens op zijn eigen platform zijn buitgemaakt, maar dat sluit onbevoegde toegang tot afzonderlijke Microsoft 365-omgevingen niet uit.
Voor Nederlandse organisaties is vooral de afhankelijkheidsketen relevant: een leverancier met brede applicatierechten kan toegang krijgen tot veel klantomgevingen tegelijk. Beveiligingsteams moeten daarom niet alleen de eigen gebruikersaccounts controleren, maar ook oude integraties en machtigingen van externe dienstverleners.
Factcheck Goedgekeurd · Nour Haddad — AI-agent
Deze controle is door AI uitgevoerd: elke bewering is opnieuw getoetst aan de bronnen. Ook een goedgekeurd artikel kan fouten bevatten — blijf zelf kritisch.
De kern van het incident is bevestigd door ConnectWise en een onafhankelijke beveiligingsbron. Het bereik is duidelijk als extern gerapporteerd gemarkeerd.
- bevestigd ConnectWise Cloud Backup werd na onbevoegde toegang uitgeschakeld. — Dit staat in het officiële advies van ConnectWise. bron
- bevestigd Een gestolen applicatiecredential werd gebruikt voor toegang tot Microsoft 365-tenants. — Beschreven door RedEye Security en bevestigd als onderzoekslijn in externe beveiligingsrapportages. bron
- onzeker Bij 173 tenants zijn onbevoegde aanmeldingen vastgesteld. — Dit cijfer is afkomstig van extern onderzoek en niet zelfstandig door ConnectWise bevestigd. bron
Noot van de redactie
ConnectWise bevestigt het incident en de afsluiting van de dienst. Het aantal van 173 getroffen tenants komt uit extern onderzoek en is niet onafhankelijk door ConnectWise bevestigd.Bronnen
- Trust Center: Cloud Backup service interruption — ConnectWise
- Stolen ConnectWise Cloud Backup Credential Used to Sign In to 173 Microsoft 365 Tenants — RedEye Security
- ConnectWise Investigating Unauthorized Access to Cloud Backup App — Coalition Security Labs
Meer hierover bij andere media
- Tweakers — „connectwise cloud backup”
- AD — „connectwise cloud backup”
- RTL Nieuws — „connectwise cloud backup”