ConnectWise heeft de stekker eruit getrokken voor meerdere applicatie-identiteiten nadat aanvallers naar verluidt ongeautoriseerde toegang wisten te krijgen tot Microsoft 365 tenants. De kern van het probleem zit niet in het stelen van individuele wachtwoorden, maar in het misbruiken van de toegangsgegevens waarmee ConnectWise zijn cloud-diensten beheert en back-upt.
Als je als partner ConnectWise of gekoppelde diensten gebruikt, is dit precies het soort incident waarbij snelle verificatie het verschil maakt tussen “alles lijkt oké” en “er is al persistentie gebouwd”. Hieronder lees je wat er bekend is, waarom het risico groot is, en welke controles je prioriteit geven.
Wat is er gebeurd met de gecompromitteerde ConnectWise toegang?
ConnectWise meldde dat het op 17 oktober 2026 meerdere applicatie-identiteiten heeft uitgeschakeld. Daarbij ging het om identiteiten voor onder meer Cloud Backup en verschillende Cloud Management-onderdelen, waaronder koppelingen met MS Teams, Exchange Online, MS Graph, Partner Center en SharePoint Online.
Daarnaast heeft ConnectWise Cloud Backup tijdelijk geschorst door certificaten die nodig zijn voor verbindingen met de getroffen applicaties te intrekken. Het bedrijf benadrukt dat deze acties nieuwe authenticatie via die verbindingen verhinderen, maar dat eerdere wijzigingen binnen tenants niet automatisch worden teruggedraaid.
Waarom deze aanpak niet alles “reset”
Een uitgeschakelde verbinding betekent in de praktijk: nieuwe aanmeldingen lopen vast. Maar al uitgegeven toegangstokens kunnen, afhankelijk van hun geldigheid, nog bruikbaar zijn tot ze verlopen of ongeldig worden gemaakt.
Ook geldt: als aanvallers hun toegang hebben uitgebreid via andere identiteiten of aparte routes, dan blijven die mogelijk bestaan totdat je ze doelgericht vindt en herstelt.
Risico voor Microsoft 365 tenants: tokens via app-rechten
De dreiging wordt extra ernstig wanneer aanvallers kunnen authenticeren “als de applicatie”. In plaats van het afzonderlijk stelen van gebruikerswachtwoorden, kunnen ze met gestolen applicatiegegevens toegang tokens aanvragen op basis van de rechten die die applicatie al heeft in Microsoft Entra ID.
Afhankelijk van die permissies kan dat toegang geven tot diverse Microsoft 365 diensten, zoals mailboxes, SharePoint-documenten, Teams-berichten en directory-informatie. Zeker bij cloudbeheer- en back-upapplicaties is het logisch dat er vaak uitgebreide bevoegdheden nodig zijn.
Plaats waar persistentie kan ontstaan
ConnectWise beschrijft dat de applicaties met ruime machtigingen opereerden voor back-up en management. Bij misbruik kunnen aanvallers de aanvankelijke gecompromitteerde toegang uitbreiden door bijvoorbeeld de applicatie toe te voegen aan een rol met brede beheerrechten, of door client secrets toe te voegen aan andere vertrouwde applicaties binnen een tenant.
Daarbovenop kunnen aanvallers nieuwe applicaties registreren en rechten verlenen. Met die extra geheimen ontstaat een alternatieve manier om opnieuw binnen te komen, ook als de oorspronkelijke gecompromitteerde credentials later worden ingetrokken.
Wat ConnectWise verder tijdelijk stopte
Naast het uitschakelen van getroffen applicatie-identiteiten heeft ConnectWise uit voorzorg ook SaaS Security en Cloud Management tijdelijk offline gehaald terwijl het onderzoek afrondt. Het bedrijf stelt dat geplande back-ups niet meer draaien en dat toegang tot back-uparchieven en herstelmogelijkheden momenteel niet beschikbaar zijn.
Wel benadrukt ConnectWise dat bestaande archieven versleuteld zijn, geïsoleerd bewaard blijven en dat er volgens het bedrijf geen aanwijzingen zijn dat ze zijn benaderd of doorzocht.
Onderzoek en timing: signalen die partners moeten meenemen
ConnectWise gaf aan het probleem op 14 oktober 2026 te hebben ontdekt via geavanceerde monitoring en zorgvuldigheid. Vervolgens zijn interne en externe incidentresponsacties opgestart. Huntress meldt dat er na 15 oktober geen nieuwe succesvolle kwaadaardige activiteit is gezien, maar dat het stoppen niet noodzakelijk het gevolg hoefde te zijn van openbare berichtgeving.
Huntress noemt ook een “second, targeted wave of attempts” vanaf een specifieke IP-adres, waarbij een beperkte set van zestien tenants werd geraakt. Die pogingen zouden niet succesvol zijn geweest.
Concreet: acties voor partners en beheerders
Huntress en ConnectWise roepen partners op om zowel hun eigen tenant als klanttenants te controleren. Hieronder staan de belangrijkste acties die je direct kunt oppakken, met focus op de gecompromitteerde ConnectWise toegang en de sporen eromheen.
1) Controleer de getroffen applicatieverbindingen
- Vink de status van de lijst met ConnectWise app-verbindingen na. Laat getroffen applicaties voorlopig uitgeschakeld tot je zeker weet dat herstel volledig is.
- Let extra op omgevingen met “dormant” of slapende verbindingen (oude koppelingen die nog wel permissies hebben).
2) Herleid en bewaar logs vóór containment
- Bewaar beschikbare sign-in en audit records van vóór je containment-acties start.
- Focus op sign-ins vanaf 13 oktober 2026 tot het heden, en specifiek op activiteiten die afkomstig zijn van het relevante IP-adres dat Huntress noemde.
3) Onderzoek app- en gebruikersauthenticatie grondig
- Beoordeel application credentials, authenticatiepaden, federation trusts en wijzigingen in directoryrollen.
- Check owners, consent grants en recente beleidswijzigingen die rond de incidentdatum zijn doorgevoerd.
4) Zoek naar misbruik in mail en toegang
- Controleer of er sprake is van ongeautoriseerde mailbox forwarding, inbox- of transportregels en gedelegeerde mailbox-toegang.
- Onderzoek ook andere identiteiten die mogelijk zijn aangepast of gebruikt tijdens de verdachte periode.
Waarom Entra-controles schade beperken (maar niet vervangen)
Huntress stelt dat Entra ID verschillende controls kan helpen om impact te beperken wanneer applicatiecredentials worden gestolen. Denk aan beleid dat client secrets in applicatieregistraties kan beperken of blokkeren, en aan het verkorten van credential lifetimes.
Daarnaast kan de rolverdeling helpen: als minder mensen de rollen hebben die nodig zijn om applicaties te beheren, wordt het moeilijker om snel nieuwe geheimen of permissies toe te voegen.
Ook Conditional Access voor workload identities kan—mits extra licenties—beperken waarvandaan een applicatie mag aanmelden. En Microsoft Entra ID Protection kan risicovolle service principals signaleren. Maar: deze maatregelen vervangen geen inhoudelijke review van credentials en configuratie.
Snelle vergelijking: wat wij eerder zagen bij misbruik van toegang
Incidenten rond gecompromitteerde accounts of tokens laten vaak dezelfde patronen zien: aanvallers zoeken naar manieren om met bestaande rechten door te bewegen, en zetten vervolgens persistentie op. Het is daarom nuttig om je eigen onderzoek aan te scherpen met context uit eerdere berichtgeving.
Als je meer wilt lezen over hoe toegang kan worden misbruikt en welke sporen daarbij relevant zijn, kijk dan ook naar gecompromitteerde ConnectWise toegang in Microsoft 365 tenants. En voor een bredere lens op geënsceneerde of samengestelde dreigingen binnen incidentresponse: van losse meldingen naar actie.
Wat je nu het beste als “next step” doet
De meest effectieve vervolgstap is om je scope meteen scherp te zetten: welke tenants zijn gekoppeld, welke applicatie-identiteiten zijn geraakt, en welke authenticatie- en autorisatiechanges vonden plaats in de relevante periode. Daarna pas je containment toe op basis van wat je aantreft, zodat je niet alleen de deur sluit, maar ook de deurposten controleert.
Concreet: bevestig eerst dat de getroffen app-verbindingen uit staan, bewaak vervolgens de logs, en onderzoek daarna credentials, rollen, consent grants en mailbox-achtige gevolgen. Zo maak je de kans kleiner dat er verborgen persistentie achterblijft.
Conclusie
De gecompromitteerde ConnectWise toegang vormt een serieuze bedreiging omdat applicatie-rechten kunnen worden misbruikt om Microsoft 365 omgevingen te benaderen zonder individuele wachtwoorden te hoeven stelen. ConnectWise heeft maatregelen genomen door app-identiteiten uit te schakelen en certificaten voor Cloud Backup in te trekken, maar daarmee is het incident niet automatisch “teruggedraaid”.
Voor partners is de boodschap helder: controleer eigen en klanttenants, bewaak logs, onderzoek app-credentials en directorywijzigingen, en check mail- en autorisatieregelingen. Alleen zo krijg je grip op zowel de directe toegang als mogelijke persistentie.
Bron: https://thehackernews.com/2026/10/connectwise-suspends-cloud-backup-after.html
