简讯
ConnectWise Cloud Backup（原 SkyKick）OAuth 凭据被滥用，攻击者登入大量 Microsoft 365 租户
Huntress 报告，ConnectWise Cloud Backup（原 SkyKick）使用的一套 Microsoft 365 应用机密已经泄露，攻击者据此登录并取得访问令牌。截至 10 月 16 日 19:00 UTC，Huntress 在受监控环境中确认至少 162 个租户出现未经授权的登录；后续更新称，同一来源在近千个 Entra 租户中有逾三百个登录成功，部分租户里 ConnectWise 管理类应用的权限被抬高，并出现写给其他应用的新机密。ConnectWise 于 10 月 17 日 07:00 UTC 在厂商侧停用七个相关应用身份并吊销凭据，10 月 18 日发布给托管服务商和客户的排查说明。
跟你的关系如果你的 Microsoft 365 租户接过 ConnectWise 或 SkyKick 的备份或云管理，你处在报告描述的同一类集成里。报告没有点名每一个租户。
活动
公开时间线把同源地址的登录尝试写在约 10 月 13 日至 14 日，把大规模应用登录和部分租户内的权限改动写在 10 月 15 日。10 月 16 日是 Huntress 报告的发布日，10 月 17 日是厂商侧停用应用身份的时间，10 月 18 日是排查说明的发布日。
- 状态
- 已公开
- 行业
- 信息技术、托管服务、专业服务
- 可信度
- 高
可信度标为高：已经打开的独立调查报告不止一份。
来源
Huntress · 事件调查报告 · 最先提出
ConnectWise · 事件调查报告 · 后来证实