Ekranda Microsoft 365 Outlook takvimi ve yan çubukta Teams, Yammer gibi Microsoft uygulama simgeleri (temsili)

Yönetilen hizmet sağlayıcılara (MSP) yazılım sunan ConnectWise, Cloud Backup (eski adıyla SkyKick) uygulama kimliklerine yönelik yetkisiz erişimin ardından 18 Ekim 2026 01:00 UTC'de (04:00 TSİ) yayımladığı güncellemede SaaS Security ve Cloud Management hizmetlerini de önlem olarak geçici süreyle kapattığını duyurdu. Siber güvenlik firması Huntress ise yetkisiz erişimle ilişkilendirilen IP adresinden 15 Ekim'de politika, ulusal güvenlik, ticaret ve kritik mineraller sektörlerindeki 16 kiracıyı hedef alan ikinci bir girişim dalgası saptadığını, bu girişimlerin başarısız olduğunu bildirdi.

Olayın ilk aşaması, yani ConnectWise'ın Cloud Backup erişimini kapatması ve Huntress'in 162 kiracıda yetkisiz oturum açıldığını doğrulaması, ConnectWise Cloud Backup kimlik bilgilerinin Microsoft 365'te kötüye kullanılmasına ilişkin ilk haberimizde yer alıyor.

SaaS Security ve Cloud Management Geçici Olarak Çevrim Dışı

ConnectWise, 18 Ekim 2026 01:00 UTC tarihli bildiriminde, devam eden inceleme tamamlanana kadar ek önlem amacıyla SaaS Security ve Cloud Management hizmetlerini çevrim dışına aldığını açıkladı. Kesinti süresince SaaS Security izleme ve uyarı mekanizmaları ile Cloud Management tarafındaki kullanıcı ve lisans yönetimi işlevleri çalışmıyor. Şirket, iş ortaklarını söz konusu işlemler için Partner Care birimine yönlendiriyor.

ConnectWise, bu kesintilerin tedbir amaçlı olduğunu ve tek başına bir iş ortağı ya da müşteri ortamının ele geçirildiği anlamına gelmediğini vurguladı. Şirket, 17 Ekim 2026 17:00 UTC (20:00 TSİ) güncellemesinde o an için başka bir ConnectWise ürününün etkilendiğine dair işaret bulunmadığını belirtmişti; 18 Ekim güncellemesinde ise iki hizmeti önlem olarak durdurdu.

Şirket, 17 Ekim 2026 07:00 UTC'de (10:00 TSİ) yedi ConnectWise uygulama kimliğini devre dışı bıraktı:

Bu müdahale ilgili bağlantılar üzerinden yeni kimlik doğrulamalarını engelliyor, ancak kiracı içinde daha önce yapılmış olabilecek değişiklikleri geri almıyor. Sertifikaların iptaliyle Cloud Backup hizmeti askıya alındı ve ortak kimlik bilgileri geçersiz kılındı. Önceden üretilmiş erişim belirteçleri (token) süreleri dolana ya da geçersiz kılınana kadar geçerliliğini koruyabiliyor. Cloud Backup'ta planlı yedeklemeler çalışmıyor, yedeklere erişim ve geri yükleme de kullanılamıyor. Şirkete göre mevcut arşivler şifreli ve izole biçimde korunuyor; arşivlere erişildiğine dair bir kanıt yok. İç güvenlik ekipleri ve üçüncü taraf bir adli bilişim firmasıyla çalışan ConnectWise, önlemler alındığından bu yana izlediği ortamlarda başarılı bir tehdit etkinliği görmediğini söylüyor; hizmetlerin ne zaman açılacağına dair bir tarih vermedi.

Huntress: 16 Kiracıya İkinci Dalga Girişimi

Huntress, 15 Ekim'de aynı IP adresinden (144.172.64.128) gelen ve kendi koruması altındaki 16 kiracıyı hedef alan ikinci bir girişim dalgası tespit etti. Girişimler başarısız oldu. Politika, ulusal güvenlik, ticaret ve kritik mineraller sektörlerindeki bu kiracıların çoğu, ilk dalgadakilerin aksine ConnectWise ürünü kullanmıyor; Huntress'e göre ilgili ConnectWise uygulaması bulunmayan kiracılarda girişimler bu yüzden sonuç vermedi.

İkinci dalganın ilk adımı 15 Ekim 09:25:04–12:35:50 UTC saatleri arasında SkyKick uygulamasından Microsoft Graph belirteçleri almaya odaklandı. Aynı gün 13:54:39–14:20:24 UTC aralığında yapılan ikinci taramanın ise Huntress'e göre elle yapılmış göründüğü ve Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra ile Office 365 Management API'lerini hedeflediği kaydedildi. Huntress, 17 Ekim güncellemesinde saldırganın Cloud Management ailesine ait Exchange Online, Teams ve SharePoint Online uygulamalarını kötüye kullandığını yüksek güvenle değerlendiriyor.

Huntress verilerine göre söz konusu IP adresinden oturum açma etkinliği görülen yaklaşık 1.000 Microsoft Entra kiracısının 300'den fazlasında oturum açma başarılı oldu. Bazı kiracılarda ise hizmet sorumlusu (service principal) bulunmadığı için erişim gerçekleşmedi. Güvenlik firması, kendi müşterileri dışından benzer etkinlik bildiren ihbarlar aldığını ancak bunları bağımsız olarak doğrulamadığını belirtti. Ayrıca 15 Ekim'de bir müşteri ortamında ConnectWise uygulaması üzerinden bir Huntress uygulamasına kimlik bilgisi eklendiği ve bu kimlikle art arda yedi kez oturum açıldığı saptandı. Huntress yetkisiz kimlik bilgisini 16 Ekim'de kaldırdı; o kiracıda değişiklik yapıldığını görmediğini, ancak Microsoft her okuma işlemini kaydetmediği için verinin okunmuş olabileceğini dışlayamadığını belirtti.

Sistem Yöneticileri İçin İnceleme Adımları

ConnectWise, iş ortaklarından hem kendi Microsoft 365 kiracılarını hem de yönettikleri her müşteri kiracısını (atıl SkyKick bağlantıları dahil) gözden geçirmelerini istiyor. ConnectWise ve Huntress'in önerdiği adımlar şöyle:

Saldırganın kimliği, ilk kimlik bilgisinin nasıl ele geçirildiği, toplam etkilenen kuruluş sayısı ve kiracılardan veri kopyalanıp kopyalanmadığı duyurularda yer almıyor.

Kaynaklar

Kapak görseli (temsili): Microsoft 365 Outlook ekranı — Ed Hardie / Unsplash (Unsplash License; 1200×675 kırpıldı).