ConnectWise tạm ngưng dịch vụ sao lưu đám mây sau sự cố rò rỉ danh tính ứng dụng

ConnectWise đã tạm ngưng dịch vụ Cloud Backup và tiến hành đặt lại thông tin đăng nhập trên diện rộng sau khi phát hiện các truy cập trái phép vào danh tính ứng dụng. Công ty bắt đầu triển khai các biện pháp giảm thiểu rủi ro vào ngày 17 tháng 10 năm 2026, ba ngày sau khi lần đầu tiên xác định được sự cố bảo mật. Phản hồi này bao gồm việc vô hiệu hóa các kết nối bị ảnh hưởng và thuê các chuyên gia bên thứ ba để quản lý quy trình khắc phục.

Chuyện gì đã xảy ra

Sự cố bảo mật nhắm cụ thể vào các danh tính ứng dụng liên quan đến ConnectWise Cloud Backup. Để phản hồi, ConnectWise đã vô hiệu hóa các kết nối ứng dụng bị ảnh hưởng và tạm ngưng hoàn toàn dịch vụ Cloud Backup. Như một biện pháp phòng ngừa, công ty cũng tạm ngưng hai dịch vụ tích hợp khác: SaaS Security và Cloud Management. Các lệnh tạm ngưng này vẫn được duy trì trong khi công ty xác minh hiệu quả của các biện pháp kiểm soát.

ConnectWise tuyên bố rằng họ đã tăng cường các biện pháp bảo vệ quyền truy cập quản trị, đặt lại tài khoản và thay thế thông tin đăng nhập ứng dụng. Công ty nhấn mạnh rằng họ chưa quan sát thấy bất kỳ hoạt động đe dọa thành công nào trong các môi trường mà họ trực tiếp giám sát. Tuy nhiên, họ làm rõ rằng nhận định này không đảm bảo rằng các tenant Microsoft 365 của đối tác hoặc khách hàng riêng lẻ không bị ảnh hưởng. ConnectWise khuyến khích các đối tác xem xét từng tenant có khả năng bị ảnh hưởng một cách độc lập trước khi kết nối lại bất kỳ ứng dụng nào.

Công ty an ninh mạng độc lập Huntress đã cung cấp thêm bối cảnh bằng cách chia sẻ các chỉ báo xâm nhập (indicators of compromise) được quan sát thấy liên quan đến hoạt động này. Các nhà nghiên cứu của Huntress đã xem xét các lượt đăng nhập ứng dụng trên hơn 10.000 tenant sử dụng các ứng dụng của ConnectWise. Họ đã xác định các địa chỉ IP cụ thể liên kết với sự cố, lưu ý rằng chỉ có một địa chỉ tạo ra hoạt động đăng nhập ứng dụng thực tế, trong khi các địa chỉ khác liên quan đến các cuộc tấn công brute force mật khẩu (password spray attacks) có thể không liên quan.

Cách thức hoạt động

Vector tấn công liên quan đến việc truy cập trái phép vào thông tin đăng nhập của nhà cung cấp, cho phép kẻ đe dọa thực hiện các lượt đăng nhập ứng dụng. Theo Huntress, địa chỉ IP chính liên kết với các lượt đăng nhập ứng dụng này là 144.172.64[.]128. Sau khi xâm nhập vào một tenant, các hacker tuân theo một phương thức hoạt động nhất quán. Ứng dụng bị xâm nhập đã tự cấp đặc quyền Global Administrator (Quản trị viên Toàn cầu), một loại quyền hạn cao cấp cung cấp khả năng kiểm soát sâu rộng đối với môi trường Microsoft 365.

Sau khi leo thang đặc quyền, các hacker đã thêm các secret mới vào một số lượng nhỏ các ứng dụng khác được đăng ký trong tenant. Kỹ thuật này đảm bảo tính bền vững, cho phép kẻ tấn công duy trì quyền truy cập ngay cả khi điểm xâm nhập ban đầu bị phát hiện và đóng lại. Huntress lưu ý rằng việc lựa chọn các ứng dụng để cài backdoor dường như là ngẫu nhiên, không quan tâm đến chức năng thực tế của những ứng dụng đó. Tiêu chí nhất quán duy nhất mang tính cấu trúc: các thông tin đăng nhập được cài vào các ứng dụng được đăng ký bên trong tenant bị ảnh hưởng.

Mặc dù các hacker có khả năng đã sử dụng quyền truy cập này để đọc dữ liệu thư mục qua Microsoft Graph, nhưng hiện tại chưa có dấu hiệu cho thấy họ vũ khí hóa quyền truy cập để thao túng hộp thư, đánh cắp tệp hoặc thay đổi chính sách. Các địa chỉ IP khác trong cùng dải nhà cung cấp đã được quan sát thấy đang tiến hành các cuộc tấn công brute force mật khẩu trên diện rộng, nhưng Huntress xác định rằng chúng khó có khả năng liên quan đến hoạt động đăng nhập ứng dụng cụ thể nhắm vào các danh tính của ConnectWise.

Chi tiết chính

• ConnectWise bắt đầu các biện pháp giảm thiểu rủi ro vào lúc 5:00 sáng UTC ngày 17 tháng 10 năm 2026, ba ngày sau khi xác định sự cố.
• Các dịch vụ Cloud Backup, SaaS Security và Cloud Management hiện đang bị tạm ngưng như một biện pháp phòng ngừa.
• Chỉ báo xâm nhập chính cho các lượt đăng nhập ứng dụng là địa chỉ IP 144.172.64[.]128.
• Kẻ tấn công đã leo thang đặc quyền bằng cách cấp quyền Global Administrator cho ứng dụng bị xâm nhập.
• Tính bền vững đạt được bằng cách thêm các secret mới vào các ứng dụng khác được chọn ngẫu nhiên trong tenant.
• ConnectWise đã công bố hướng dẫn kỹ thuật để giúp các đối tác điều tra các hoạt động trái phép tiềm ẩn.

Tại sao điều này quan trọng

Sự cố này làm nổi bật những rủi ro vốn có trong phụ thuộc chuỗi cung ứng, đặc biệt là khi các nhà cung cấp dịch vụ quản lý (MSP) có quyền truy cập đặc quyền cao vào môi trường của khách hàng. Đối với các lãnh đạo IT và kỹ sư bảo mật, việc xâm phạm danh tính ứng dụng đặc biệt đáng lo ngại vì nó bỏ qua các biện pháp kiểm soát bảo mật truyền thống tập trung vào người dùng như xác thực đa yếu tố. Khi danh tính ứng dụng bị xâm phạm, kẻ tấn công hoạt động với các quyền hạn được cấp cho tài khoản dịch vụ đó, mà trong trường hợp này bao gồm khả năng nâng cấp lên Global Administrator.

Việc tạm ngưng các dịch vụ quan trọng như Cloud Backup và SaaS Security cho thấy tác động vận hành của các vi phạm như vậy. Các tổ chức dựa vào những công cụ này để bảo vệ dữ liệu và giám sát bảo mật giờ đây phải trải qua một giai đoạn giảm khả năng hiển thị và khả năng chống chịu. Hơn nữa, cảnh báo từ ConnectWise rằng các tenant riêng lẻ vẫn có thể bị ảnh hưởng đặt gánh nặng điều tra lên vai các đối tác và khách hàng. Điều này đòi hỏi nỗ lực đáng kể để bảo quản bằng chứng, xác minh các phát hiện và đánh giá tác động vận hành trước khi khôi phục dịch vụ.

Bạn có thể làm gì

• Xem xét hướng dẫn kỹ thuật do ConnectWise công bố để điều tra các hoạt động trái phép tiềm ẩn trong môi trường của bạn.
• Bảo quản các bằng chứng liên quan và xác minh các phát hiện trước khi thực hiện bất kỳ thay đổi nào đối với tenant Microsoft 365 của bạn.
• Kiểm tra nhật ký của bạn để tìm các lượt đăng nhập ứng dụng từ địa chỉ IP 144.172.64[.]128.
• Không kết nối lại các ứng dụng bị ảnh hưởng cho đến khi ConnectWise cung cấp hướng dẫn khôi phục chính thức.
• Kiểm toán tenant của bạn để tìm bất kỳ secret lạ nào được thêm vào các ứng dụng đã đăng ký, đặc biệt là những ứng dụng có đặc quyền cao.
• Đánh giá tác động vận hành của các dịch vụ Cloud Backup và SaaS Security bị tạm ngưng đối với kế hoạch liên tục kinh doanh của bạn.