Un backup compromesso allarga l’accesso a 173 tenant
Huntress ha osservato accessi non autorizzati in 173 tenant Microsoft 365 di clienti ConnectWise Cloud Backup dopo il furto di una credenziale del servizio. Non è un incidente limitato a un account: un solo login del vendor ha aperto una superficie di lettura molto più ampia del singolo tenant colpito.
L’attaccante ha usato la credenziale fidata del backup per ottenere token da Microsoft come se fosse il servizio stesso. Quei token ereditano i permessi già concessi all’app, quindi danno lettura su mail, file, Teams e dati di directory senza dover rubare le password degli utenti di ogni tenant.
Per MSP e organizzazioni che hanno consentito l’app, la compromissione di una credenziale di vendor può diventare un’esposizione cross-tenant. Il rischio non resta dentro il backup account: si estende a ogni tenant che ha affidato all’app accesso permanente ai propri dati Microsoft 365.
Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
ConnectWise has shut down customer access to its Cloud Backup service (formerly SkyKick Cloud Backup) after hackers accessed application identities and compromised Microsoft 365 tenants.