Onderzoekers waarschuwen voor gecompromitteerde ConnectWise toegang die is gebruikt om ongeautoriseerde toegang te krijgen tot Microsoft 365-omgevingen. In totaal zouden 173 partner- en klanttenants geraakt zijn via een credential van ConnectWise Cloud Backup (voorheen SkyKick), een back-updienst die bedoeld is voor managed service providers (MSP’s).
Het kernprobleem: de betrokken applicatie heeft brede rechten binnen elke tenant waarop ze is geïnstalleerd. Daarmee kan een aanvaller, als die beschikt over tokens of sessies, mogelijk gegevens inzien of acties uitvoeren die normaal voor back-up en herstel zijn bedoeld.
Wat is ConnectWise Cloud Backup en waarom is dit zo gevoelig?
ConnectWise Cloud Backup is een cloudgebaseerde back-up- en herstelservice voor MSP’s. De toepassing krijgt toegang tot onder meer mailboxes, OneDrive, SharePoint, Teams en directorygegevens binnen tenants waar de app draait.
Omdat die machtigingen functioneel nodig zijn om back-ups te maken en data te herstellen, ontstaat er bij misbruik een groter risico. De back-upapp kan immers namens de organisatie gegevens benaderen met dezelfde toestemming die de service heeft.
Welke aanval werd waargenomen?
Huntress meldt dat de credential in handen van aanvallers is gebruikt om Microsoft Graph-tokens te verkrijgen in klanttenants. In de waarnemingen waren er bevestigde ongeautoriseerde aanmeldingen in 173 tenants.
De onderzoekers beschrijven ook een patroon in de gebruikte aanpak: de aanvaller bewoog langs tenants in een volgorde die lijkt op een script dat uit een vooraf gedefinieerde lijst werkt. In de periode van 15 oktober, tussen 06:13 en 08:34 UTC, zouden tokens zijn opgebouwd of verkregen via de app.
Hoe werkt misbruik als je de vendor-credential hebt?
In de gedetecteerde activiteiten authenticeerden aanvallers volgens onderzoekers met hun eigen tooling op een manier die vergelijkbaar is met hoe de back-updienst normaal werkt. Vervolgens kregen ze tokens met de al bestaande toestemming van de applicatie.
Dat is precies het gevaarlijke detail: als een aanvaller tokens kan bemachtigen, kan die toegang overnemen tot datgene waarvoor de back-upapp gemachtigd is. Afhankelijk van de permissies binnen de individuele tenant kan dat gaan om mailboxinhoud, bestanden in cloud-opslag en Teams-data, en in bepaalde scenario’s ook om herstelmogelijkheden.
Extra risico: privilege-uitbreiding via aanvullende ConnectWise-apps
Naast misbruik van de back-upapp zagen onderzoekers in ten minste één partnertenant dat er een andere ConnectWise-app werd ingezet om zichzelf globale beheerdersrechten (Global Administrator) te geven. Daarna werden andere, vertrouwde applicaties in dezelfde tenant aangepast met nieuwe credentials.
Door zo’n route kan het risico verder reiken dan alleen het vendor-account. Het draait dan niet meer uitsluitend om één gecompromitteerde app, maar om het creëren van nieuwe toegangspaden via applicaties die doorgaans al vertrouwen krijgen binnen MSP- of klantomgevingen.
Waarom “sessions uitzetten” niet genoeg is
De onderzoekers benadrukken dat het beëindigen van gebruikerssessies de toegang mogelijk niet volledig stopt. Het uitschakelen van de applicatie in een tenant verhindert dat er nieuwe tokens worden uitgegeven, maar tokens die al zijn ontvangen blijven nog enige tijd geldig.
Volgens de melding kunnen die eerder verkregen tokens tot ongeveer 90 minuten bruikbaar blijven. Daardoor is snelle actie noodzakelijk, én moet je controleren of een aanvaller al blijvend iets heeft toegevoegd (bijvoorbeeld nieuwe credentials of aanpassingen aan app-registraties).
Welke indicatoren en controlepunten worden genoemd?
ConnectWise heeft in reactie op de situatie toegang tot Cloud Backup tijdelijk gesloten “tot nader order”. Daarbij worden ook concrete controlepunten genoemd, vooral rond Microsoft Entra (voorheen Azure AD).
Huntress adviseert om sign-in logs te bekijken in Entra Admin Center via Monitoring → Sign-in logs en specifiek naar Service principal sign-ins te gaan met filter op een application ID. Let daarbij ook op het IP-adresbereik: meldingen vanuit IP’s buiten de verwachte Microsoft/Azure ranges moeten extra aandacht krijgen.
In de analyse wordt bovendien een verdacht IP-adres genoemd: 144.172.64[.]128. Verder wordt aangegeven dat de tab voor default user sign-ins niet de benodigde details zou tonen voor dit type activiteit.
Praktische stappen om nu te handelen
Op basis van de meldingen wordt aangeraden om meteen te reageren, omdat directory-read acties via Microsoft Graph volgens de onderzoekers deels kunnen plaatsvinden zonder duidelijke auditsporen. Wachten tot er “bewijs” is van data-raadpleging kan dan te laat zijn.
1) Schakel de back-upapp tijdelijk uit
Meerdere bronnen binnen de melding adviseren om de toepassing te disablen totdat ConnectWise bevestigt dat alle credentials zijn geroteerd. Dit stopt nieuwe token-uitgifte per tenant.
2) Zet extra logging aan voor Microsoft Graph
Controleer of Microsoft Graph activity logs zijn ingeschakeld. Dat helpt om later beter te begrijpen welke acties mogelijk zijn uitgevoerd en wanneer.
3) Audit op nieuwe credentials en app-toevoegingen
Bekijk welke nieuwe credentials er sinds 13 oktober 2026 zijn toegevoegd. Controleer ook Entra audit logs op signalen dat ConnectWise (of SkyKick) applicaties zichzelf aan een directory role koppelen of privileges verkrijgen.
4) Kijk breder dan alleen de ene app-registratie
Omdat er in ten minste één omgeving privilege-uitbreiding en aanpassing van andere applicaties werd gezien, is het verstandig om niet alleen naar de back-upapp te kijken. Let vooral op veranderingen aan trusted tools of MSP-managementapplicaties waarvoor al toestemming was verleend.
Breder perspectief: supply chain misbruik blijft doorwerken
Dit incident past in een bredere trend waarin aanvallers niet alleen systemen direct benaderen, maar ook vertrouwen gebruiken dat al via vendor-apps of updateketens bestaat. In dezelfde periode werd bijvoorbeeld ook beschreven dat bij back-upsoftware van AOMEI Backupper update-infrastructuur kortstondig werd gemanipuleerd om malware te leveren via een malafide updatepad.
Als je dit soort verhalen naast elkaar legt, zie je een terugkerend patroon: zodra een leverancier of onderdeel in je keten “vertrouwd” is en brede rechten krijgt, wordt misbruik sneller schaalbaar.
Voor achtergrond over vergelijkbare vendor- of supply chain risico’s kun je ook lezen: AOMEI Backupper supply chain backdoor: wat te doen.
Wat betekent dit voor MSP’s en hun klanten?
Voor MSP’s is de impact extra relevant omdat consent en applicatie-toegang vaak doorwerken in relaties met klanttenants. Als een aanvaller via een vendor-app toegang krijgt tot een tenant, kan de schade variëren van datalezen tot het klaarzetten van routes naar andere, vertrouwde applicaties.
Ook voor eindklanten geldt: als de back-upapp is geïnstalleerd, is uitschakelen en controleren niet optioneel. De mate van schade hangt af van de permissies die binnen jouw tenant waren ingesteld.
Conclusie
Gecompromitteerde ConnectWise toegang toont hoe groot het risico kan zijn zodra een vendor-credential wordt misbruikt. Omdat ConnectWise Cloud Backup brede machtigingen heeft, kan een aanvaller met tokens of sessies mogelijk toegang krijgen tot mailbox-, bestands- en Teams-gegevens binnen getroffen tenants.
De kern van de aanpak is nu: schakel de applicatie uit, controleer Entra-sign-in en audit logs, enable Graph activity logging en audit op nieuwe credentials of privilege-toekenningen. Wacht niet op “hard bewijs” als er aanwijzingen zijn dat auditsporen beperkt kunnen zijn—handel direct.
Wil je inzoomen op detection en opvolging bij aanvallen op cloud-omgevingen? Lees dan ook: Contextuele cyberdefensie: van losse meldingen naar actie.
Bron: https://thehackernews.com/2026/10/hackers-use-compromised-connectwise.html
