ConnectWise、アプリケーションIDの侵害を受けクラウドバックアップサービスを停止

ConnectWiseは、アプリケーションIDへの不正アクセスを検知した後、Cloud Backupサービスの停止と広範な認証情報リセットを開始しました。同社は2026年10月17日、セキュリティインシデントを初めて特定してから3日後に緩和策の展開を開始しました。この対応には、影響を受けた接続の無効化や、修復プロセスを管理するための第三者専門家の起用が含まれています。

何が起きたか

今回のセキュリティインシデントは、ConnectWise Cloud Backupに関連付けられたアプリケーションIDを標的としたものでした。これに対し、ConnectWiseは影響を受けたアプリケーション接続を無効化し、Cloud Backupサービス全体を停止しました。予防措置として、他の2つの統合サービスであるSaaS SecurityおよびCloud Managementも一時停止しました。これらの停止措置は、封じ込め対策の有効性を検証する間、継続されます。

ConnectWiseは、管理者アクセス保護の強化、アカウントのリセット、アプリケーション認証情報の置き換えを実施したと述べています。同社は、直接監視している環境において成功した脅威活動は確認されていないことを強調しました。しかしながら、この観察結果が個々のパートナーや顧客のMicrosoft 365テナントが無傷であることを保証するものではないと明確にしています。ConnectWiseは、パートナーに対し、アプリケーション再接続の前に、潜在的に影響を受ける可能性のある各テナントを個別にレビューするよう呼びかけました。

独立系サイバーセキュリティ企業であるHuntressは、この活動に関連して観測された侵害指標（IOC）を共有することで、追加のコンテキストを提供しました。Huntressの研究員は、ConnectWiseアプリケーションを使用する10,000以上のテナントにおけるアプリケーションサインインを確認しました。彼らはインシデントに関連する特定のIPアドレスを特定し、実際にアプリケーションサインイン活動を生み出したのは1つのアドレスのみであり、他は関連性がない可能性のあるパスワードスプレー攻撃に関連していたことを指摘しました。

仕組み

攻撃ベクトルにはベンダー認証情報への不正アクセスが含まれており、これにより脅威アクターがアプリケーションサインインを実行できるようになりました。Huntressによると、これらのアプリケーションサインインに関連する主要なIPアドレスは144.172.64[.]128でした。テナント内部に入った後、攻撃者は一貫した手口で行動しました。侵害されたアプリケーションは自身にグローバル管理者権限を付与し、これはMicrosoft 365環境に対する広範な制御を提供する高レベルの権限です。

権限のエスカレーション後、攻撃者はテナント内に登録された少数の他のアプリケーションに新しいシークレットを追加しました。この技術は永続性を確保し、最初の侵入ポイントが発見され閉鎖された場合でも、攻撃者がアクセスを維持できるようにします。Huntressは、バックドアを仕掛けるアプリケーションの選択はランダムに見え、それらのアプリケーションが実際に行えることには考慮が払われていなかったと指摘しました。唯一の一貫した基準は構造的なものであり、認証情報は影響を受けたテナント内で登録されたアプリケーションに埋め込まれました。

攻撃者はおそらくこのアクセスを利用してMicrosoft Graph経由でディレクトリデータを読み取っていましたが、現時点では、メールボックス操作、ファイル窃取、ポリシー変更のためにアクセスを悪用した兆候はありません。同じプロバイダー範囲内の他のIPアドレスが広範なパスワードスプレー攻撃を実行しているのが観測されましたが、HuntressはこれらがConnectWise IDを狙った特定のアプリケーションサインイン活動とは関連性が低いと判断しました。

重要な詳細

• ConnectWiseは2026年10月17日UTC午前5:00に緩和策を開始しました。これはインシデント特定から3日後です。
• 予防措置として、Cloud Backup、SaaS Security、Cloud Managementサービスは現在停止中です。
• アプリケーションサインインに関する主要な侵害指標はIPアドレス144.172.64[.]128です。
• 攻撃者は、侵害されたアプリケーションにグローバル管理者権限を付与することで権限をエスカレーションしました。
• テナント内でランダムに選択された他のアプリケーションに新しいシークレットを追加することで、永続性が達成されました。
• ConnectWiseは、パートナーが潜在的な不正活動を調査するための技術ガイダンスを公開しています。

なぜ重要なのか

このインシデントは、サプライチェーン依存関係に伴うリスク、特にマネージドサービスプロバイダー（MSP）が顧客環境に対して高い特権アクセスを持つ場合に顕著であることを浮き彫りにしています。ITリーダーやセキュリティエンジニアにとって、アプリケーションIDの侵害は、多要素認証などの従来のユーザー中心のセキュリティコントロールを回避するため、特に懸念されます。アプリケーションIDが侵害されると、攻撃者はそのサービスアカウントに付与された権限で動作します。今回のケースでは、グローバル管理者への昇格能力が含まれていました。

Cloud BackupやSaaS Securityといった重要サービスの停止は、こうした侵害による運用上の影響を示しています。データ保護やセキュリティ監視のためにこれらのツールに依存している組織は、可視性とレジリエンスが低下した期間を乗り切らなければなりません。さらに、個々のテナントが依然として影響を受けている可能性があるというConnectWiseからの警告は、調査の負担をパートナーと顧客に課しています。これは、サービスを復旧させる前に証拠の保全、発見事項の検証、運用影響の評価を行うために多大な労力を必要とします。

できること

• ConnectWiseが公開した技術ガイダンスを確認し、環境内での潜在的な不正活動を調査してください。
• Microsoft 365テナントに変更を加える前に、関連する証拠を保全し、発見事項を検証してください。
• IPアドレス144.172.64[.]128からのアプリケーションサインインについてログを確認してください。
• ConnectWiseから正式な復旧手順が提供されるまで、影響を受けたアプリケーションを再接続しないでください。
• 特に高特権を持つ登録済みアプリケーションに追加された不明なシークレットがないか、テナントを監査してください。
• 停止中のCloud BackupおよびSaaS Securityサービスが事業継続計画に与える運用影響を評価してください。