ConnectWise vô hiệu hóa danh tính ứng dụng sau vụ xâm phạm tenant Microsoft 365

ConnectWise đã vô hiệu hóa bảy danh tính ứng dụng và tạm ngưng dịch vụ Cloud Backup sau một sự cố bảo mật, trong đó các nhóm đe dọa đã giành được quyền truy cập trái phép vào những danh tính này. Vụ vi phạm, được phát hiện vào ngày 14 tháng 10 năm 2026, cho phép tin tặc xâm phạm các tenant Microsoft 365 thuộc về khách hàng của ConnectWise, dẫn đến các hành động khắc phục ngay lập tức từ nhà cung cấp phần mềm quản lý CNTT vào ngày 17 tháng 10 năm 2026.

Chuyện gì đã xảy ra

Vào lúc 07:00 UTC ngày 17 tháng 10 năm 2026, ConnectWise đã thực hiện hành động quyết liệt bằng cách vô hiệu hóa bảy danh tính ứng dụng cụ thể và thu hồi các chứng chỉ được sử dụng cho các kết nối ứng dụng bị ảnh hưởng trên tất cả người dùng. Động thái này thực chất đã tạm ngưng dịch vụ Cloud Backup, làm gián đoạn các bản sao lưu theo lịch trình và khiến khả năng khôi phục dữ liệu tạm thời không hoạt động. Công ty tuyên bố rằng mặc dù các kho lưu trữ sao lưu hiện có vẫn được mã hóa, cô lập và bảo toàn mà không có bằng chứng nào về việc bị xâm phạm, nhưng thông tin đăng nhập Cloud Backup dùng chung không còn hợp lệ. ConnectWise cũng tạm thời đưa các dịch vụ SaaS Security và Cloud Management ngoại tuyến như một biện pháp phòng ngừa trong khi tiếp tục điều tra sự cố.

Các danh tính ứng dụng bị xâm phạm bao gồm ConnectWise Cloud Backup và sáu biến thể ConnectWise Cloud Management phủ sóng MS Teams, Exchange Online, MS Graph, Partner Center và SharePoint Online. ConnectWise nhấn mạnh rằng việc vô hiệu hóa các kết nối này ngăn chặn xác thực mới nhưng không đảo ngược bất kỳ thay đổi nào đã được thực hiện trước đó bên trong tenant của khách hàng. Các token truy cập đã được cấp trước đó có thể vẫn còn sử dụng được cho đến khi hết hạn, nghĩa là bất kỳ thông tin đăng nhập hoặc quyền hạn trái phép nào được thiết lập thông qua các danh tính riêng biệt đều yêu cầu đối tác và khách hàng bị ảnh hưởng phải xem xét và khắc bổ thêm.

Cơ chế hoạt động

Sự cố này làm nổi bật những rủi ro liên quan đến thông tin đăng nhập của service principal (chủ thể dịch vụ) trong môi trường đám mây. Thay vì đánh cắp mật khẩu cá nhân của từng người dùng, tin tặc đã lấy được thông tin đăng nhập của các danh tính ứng dụng. Bằng cách xác thực dưới danh nghĩa chính ứng dụng, các nhóm đe dọa có thể yêu cầu token truy cập từ Microsoft Entra ID dựa trên các quyền hạn rộng rãi vốn đã được cấp cho các công cụ sao lưu và quản lý của ConnectWise. Phương pháp này cho phép tin tặc bỏ qua các lớp bảo vệ xác thực đa yếu tố thường gắn liền với tài khoản người dùng.

Sau khi xác thực dưới danh nghĩa ứng dụng, tin tặc có tiềm năng truy cập vào hộp thư, tài liệu SharePoint, tin nhắn Teams và thông tin thư mục. Nghiêm trọng hơn, chúng có thể mở rộng quyền truy cập bằng cách thêm ứng dụng bị xâm phạm vào vai trò Global Administrator (Quản trị viên Toàn cục), tạo các ứng dụng mới và thêm client secret (bí mật máy khách) vào các ứng dụng đáng tin cậy khác trong tenant. Những client secret mới này cung cấp một cửa hậu (backdoor) bền vững, cho phép tin tặc giành lại quyền truy cập ngay cả khi thông tin đăng nhập gốc bị xâm phạm đã bị thu hồi. Cơ chế duy trì quyền truy cập này khiến việc khắc phục trở nên phức tạp, vì chỉ đơn thuần xoay vòng mật khẩu hoặc chứng chỉ ban đầu là không đủ nếu các bí mật mới đã được cài cắm.

Chi tiết chính

• ConnectWise đã vô hiệu hóa bảy danh tính ứng dụng vào ngày 17 tháng 10 năm 2026, bao gồm Cloud Backup và nhiều dịch vụ Cloud Management khác nhau.
• Vấn đề được phát hiện vào ngày 14 tháng 10 năm 2026 thông qua giám sát an ninh mạng nội bộ, mặc dù cơ chế lộ thông tin đăng nhập chính xác vẫn đang được phân tích.
• Huntress quan sát thấy các lần đăng nhập độc hại từ địa chỉ IP "144.172.64[.]128" và xác nhận việc lạm dụng ứng dụng Teams trong ít nhất một tenant.
• Một làn sóng tấn công nhắm mục tiêu thứ hai đã diễn ra vào ngày 15 tháng 10, tập trung vào 16 tenant trong các lĩnh vực chính sách, an ninh quốc gia và khoáng sản chiến lược, nhưng không thành công.
• Trong số gần 1.000 tenant Entra có hoạt động đăng nhập từ IP đáng ngờ, 300 lần đã thành công, mặc dù một số bị chặn do thiếu service principal.
• Các kho lưu trữ sao lưu hiện có được báo cáo là đã được mã hóa và nguyên vẹn, nhưng các bản sao lưu theo lịch trình hiện đang bị tạm dừng.

Tại sao điều này quan trọng

Đối với các nhà phát triển phần mềm và trưởng nhóm CNTT quản lý môi trường Microsoft 365, sự cố này nhấn mạnh tầm quan trọng then chốt của việc bảo mật các service principal và quyền hạn ứng dụng. Khác với các cuộc tấn công tập trung vào người dùng, việc xâm phạm một danh tính ứng dụng sẽ cấp quyền truy cập tự động và rộng lớn, khó có thể phát hiện nếu không có nhật ký kiểm toán nghiêm ngặt. Khả năng tin tặc cài đặt các client secret mới có nghĩa là ranh giới tin cậy bên trong tenant có thể bị thay đổi vĩnh viễn, đòi hỏi phải xem xét kỹ lưỡng tất cả các đăng ký ứng dụng và quyền đồng ý (consent grants).

Bản chất chuỗi cung ứng của cuộc tấn công này cũng minh họa cách các lỗ hổng trong công cụ của nhà cung cấp dịch vụ quản lý (MSP) có thể lan truyền sang hàng trăm khách hàng hạ nguồn. Ngay cả khi một lỗ hổng sản phẩm không trực tiếp gây ra vụ xâm phạm, các quyền hạn rộng rãi được cấp cho các công cụ quản lý tạo ra một mục tiêu giá trị cao. Các tổ chức phải giả định rằng bất kỳ ứng dụng nào có đặc quyền cao đều có thể là vector cho chuyển động ngang (lateral movement), đòi hỏi các biện pháp kiểm soát chặt chẽ hơn về ai được phép quản lý thông tin đăng nhập ứng dụng và cách thức lưu trữ cũng như xoay vòng các thông tin đăng nhập đó.

Bạn có thể làm gì

• Xem xét nhật ký đăng nhập cho tenant Microsoft 365 của bạn và tất cả các tenant khách hàng được quản lý từ ngày 13 tháng 10 năm 2026 trở đi, đặc biệt lọc các hoạt động từ địa chỉ IP "144.172.64[.]128".
• Xác minh trạng thái của bảy danh tính ứng dụng ConnectWise đã bị vô hiệu hóa và đảm bảo chúng vẫn bị vô hiệu hóa cho đến khi có thông báo mới từ nhà cung cấp.
• Bảo toàn tất cả các bản ghi đăng nhập và kiểm toán hiện có trước khi bắt đầu bất kỳ bước chứa chấp hoặc dọn dẹp nào để duy trì tính toàn vẹn của bằng chứng pháp y.
• Kiểm toán thông tin đăng nhập ứng dụng, federation trust (niềm tin liên bang), vai trò thư mục và các thay đổi chính sách gần đây để xác định bất kỳ sự bổ sung hoặc sửa đổi trái phép nào.
• Kiểm tra các quy tắc chuyển tiếp hộp thư, quy tắc hộp thư đến, quy tắc vận chuyển và quyền truy cập hộp thư ủy quyền trái phép có thể đã được tạo ra trong quá trình xâm phạm.
• Triển khai các chính sách quản lý ứng dụng để hạn chế client secret trên các đăng ký ứng dụng và giới hạn thời gian tồn tại của thông tin đăng nhập nhằm thu hẹp cửa sổ cơ hội cho tin tặc.