ConnectWise、Microsoft 365テナント侵害を受けアプリIDを無効化

ConnectWiseは、脅威アクターがこれらのIDへの不正アクセスを取得したセキュリティインシデントを受けて、同社のアプリケーションIDのうち7つを無効化し、Cloud Backupサービスを停止しました。2026年10月14日に特定されたこの侵害により、攻撃者はConnectWiseの顧客に属するMicrosoft 365テナントを侵害することが可能になりました。これを受け、IT管理ソフトウェアプロバイダーであるConnectWiseは2026年10月17日に即時の緩和措置を実施しました。

何が起きたか

2026年10月17日UTC 07:00、ConnectWiseは断固たる措置として、特定の7つのアプリケーションIDを無効化し、すべてのユーザーにわたって影響を受けたアプリケーション接続で使用されていた証明書を失効させました。この動きにより、Cloud Backupサービスは事実上停止し、スケジュールされたバックアップが中断され、復元機能が一時的に利用不可となりました。同社は、既存のバックアップアーカイブは暗号化され、隔離されており、侵害の証拠はないまま保存されていると述べていますが、共有されていたCloud Backupの認証情報は現在有効ではないとしています。また、調査を継続している間、予防措置としてSaaS SecurityおよびCloud Managementサービスを一時的にオフラインにしました。

侵害されたアプリケーションIDには、ConnectWise Cloud Backupと、MS Teams、Exchange Online、MS Graph、Partner Center、SharePoint Onlineを対象とする6つのConnectWise Cloud Managementバリアントが含まれています。ConnectWiseは、これらの接続を無効化することで新しい認証を防ぐことはできるものの、顧客のテナント内で以前に行われた変更を元に戻すことはできないことを強調しています。以前発行されたアクセストークンは期限切れになるまで使用可能な場合があるため、別のIDを通じて確立された不正な認証情報や権限については、影響を受けたパートナーおよび顧客による追加の確認と修復が必要となります。

仕組み

このインシデントは、クラウド環境におけるサービスプリンシパルの認証情報に関連するリスクを浮き彫りにしています。攻撃者は個々のユーザーパスワードを盗む代わりに、アプリケーションIDの認証情報を入手しました。アプリケーションそのものとして認証することで、脅威アクターは、バックアップや管理タスクのためにConnectWiseのツールに既に付与されていた広範な権限に基づき、Microsoft Entra IDからアクセストークンを要求することができました。この手法により、通常ユーザーアカウントに紐付けられている多要素認証（MFA）保護を回避することができます。

アプリケーションとして認証された後、攻撃者はメールボックス、SharePointドキュメント、Teamsメッセージ、ディレクトリ情報などに潜在的にアクセスできるようになります。さらに深刻なのは、侵害されたアプリケーションをグローバル管理者ロールに追加したり、新しいアプリケーションを作成したり、テナント内の他の信頼できるアプリケーションにクライアントシークレットを追加したりすることで、アクセス範囲を拡大できた点です。これらの新しいクライアントシークレットは永続的なバックドアを提供するため、元の侵害された認証情報が失効しても、攻撃者はアクセスを回復できます。この永続化メカニズムにより修復が複雑になり、新しいシークレットが仕掛けられている場合、初期のパスワードや証明書のローテーションだけでは不十分となります。

主要な詳細

• ConnectWiseは2026年10月17日に、Cloud Backupや各種Cloud Managementサービスを含む7つのアプリケーションIDを無効化しました。
• この問題は2026年10月14日に内部サイバーセキュリティ監視によって特定されましたが、正確な認証情報の露出メカニズムは依然として分析中です。
• HuntressはIPアドレス「144.172.64[.]128」からの悪意あるサインインを観察し、少なくとも1つのテナントでTeamsアプリの濫用を確認しました。
• 2026年10月15日に第2波の標的型試行が発生し、政策、国家安全保障、重要鉱物セクターの16テナントに焦点が当てられましたが、失敗に終わりました。
• 疑わしいIPからのサインイン活動があった約1,000件のEntraテナントのうち、300件は成功しましたが、一部はサービスプリンシパルの不在によりブロックされました。
• 既存のバックアップアーカイブは暗号化されており、手つかずであると報告されていますが、スケジュールされたバックアップは現在停止しています。

なぜ重要か

Microsoft 365環境を管理するソフトウェア開発者やITリーダーにとって、このインシデントはサービスプリンシパルとアプリケーション権限の保護の極めて重要な意義を強調しています。ユーザー中心の攻撃とは異なり、アプリケーションIDの侵害は、厳格な監査ログなしでは検知が難しい広範かつ自動化されたアクセスを許してしまいます。攻撃者が新しいクライアントシークレットを仕込む能力があるため、テナント内の信頼境界が永久的に変更される可能性があり、すべてのアプリケーション登録と同意付与の詳細なレビューが必要となります。

この攻撃のサプライチェーン的な性質は、マネージドサービスプロバイダー（MSP）ツールにおける脆弱性が、数百の下流顧客へ波及し得ることも示しています。製品自体の脆弱性が直接の原因でなかったとしても、管理ツールに付与された広範な権限は高価値な標的を生み出します。組織は、高い特権を持つあらゆるアプリケーションが横方向移動のベクトルとなり得ると想定し、誰がアプリケーション認証情報を管理できるか、そしてそれらの認証情報がどのように保存・ローテーションされるかについて、より厳格な制御を導入する必要があります。

対応策

• 2026年10月13日以降のMicrosoft 365テナントおよび管理対象の全顧客テナントのサインインログを確認し、特にIPアドレス「144.172.64[.]128」からの活動をフィルタリングしてください。
• 無効化された7つのConnectWiseアプリケーションIDの状態を検証し、ベンダーからのさらなる通知があるまで無効のままにしてください。
• フォレンジックの完全性を維持するため、封じ込めやクリーンアップ手順を開始する前に、利用可能なすべてのサインインおよび監査記録を保存してください。
• アプリケーション認証情報、フェデレーション信頼関係、ディレクトリロール、最近のポリシー変更を監査し、不正な追加や変更がないか特定してください。
• 侵害中に作成された可能性のある不正なメールボックス転送ルール、受信トレイルール、トランスポートルール、委任されたメールボックスアクセスの有無を確認してください。
• アプリ管理ポリシーを実装し、アプリ登録に対するクライアントシークレットの使用を制限するとともに、認証情報の有効期間を短縮して、攻撃者の機会窗口を限定してください。