ConnectWise, eski adı SkyKick olan Cloud Backup hizmetindeki uygulama kimliklerine yetkisiz erişim tespit edildiğini 17 Ekim 2026'da açıkladı. Şirket, koruyucu önlem olarak hizmetin uygulama erişimini kapattı ve yedekleme işlemlerini ikinci bir duyuruya kadar durdurdu. Güvenlik firması Huntress ise ele geçirilen bir Microsoft 365 API sırrıyla kendi gördüğü 162 müşteri kiracısında yetkisiz oturum açıldığını doğruladı.
ConnectWise, 16 Ekim 2026 günü saat 20:47 TSİ'de yayımladığı ilk güvenlik danışmasında yetkisiz erişim girişimlerini incelediğini ve iş ortaklarının yedek verilerine erişildiğine dair bir gösterge bulunmadığını bildirmişti. Şirket, 17 Ekim günü saat 08:01 TSİ'de yayımladığı güncellemede uygulama kimliklerine yetkisiz erişildiğini doğruladı ve Cloud Backup uygulama erişimini kapattı. ConnectWise'a göre iş ortaklarının yedek verilerinin ele geçirildiğine dair şu ana kadar bir gösterge yok; mevcut bulut yedek arşivi kesintiden etkilenmedi ve hizmet yeniden açıldığında erişilebilir olacak. Soruşturma ve düzeltme çalışmaları sürüyor.
Huntress analizi ve yetkisiz oturumlar
Huntress'in 16 Ekim'de yayımladığı teknik rapora göre saldırgan, ConnectWise Cloud Backup'a ait bir Microsoft 365 kimlik bilgisini (API sırrı) ele geçirdi. Bu kimlik bilgisiyle 15 Ekim günü 06:13 ile 08:34 UTC arasında 144.172.64[.]128 IP adresinden müşteri kiracılarında oturum açıldı ve Microsoft Graph erişim belirteçleri alındı. Huntress'e göre girişlerin kiracı GUID sırasıyla ve birkaç saniye arayla yapılması, hedef listesiyle çalışan bir betiğe işaret ediyor. Firma, 16 Ekim 19:00 UTC itibarıyla 162 kiracıda yetkisiz oturum açıldığını doğruladı; kimlik bilgisi uygulamanın onay verildiği her kiracıda çalıştığı için saldırganın erişiminin bu kiracılarla sınırlı olmadığını belirtiyor.
Huntress, aynı IP adresinden 13 ve 14 Ekim'de dört hukuk bürosunun kiracısına parola püskürtme denemesi yapıldığını, ancak başarılı bir kullanıcı oturumu görülmediğini aktardı. Bir müşteri kiracısında ise ikinci bir ConnectWise uygulaması olan ConnectWise Cloud Management – MS Teams, 15 Ekim 03:44–03:49 UTC arasında kendisini Genel Yönetici rolüne ekledi ve aynı kiracıdaki iki uygulamaya 2028'e kadar geçerli yeni istemci sırları tanımladı. Huntress bu erken etkinliği 06:13'teki oturumlarla aynı operatöre henüz bağlamadı.
Yönetilen hizmet sağlayıcılarının (MSP) müşterilerinin Microsoft 365 veya Google Workspace verilerini yedeklemek için kullandığı Cloud Backup, kurulduğu kiracıda posta kutuları, OneDrive, SharePoint, Teams ve dizin verilerine geniş erişime sahip. Huntress'in ayrıntılı incelediği tek kiracının denetim kayıtlarında posta veya dosya erişimi görünmüyor; ancak Microsoft Graph üzerinden yapılan dizin okumaları denetim izi bırakmadığı için bu, veri alınmadığı anlamına gelmiyor. Tedarik zinciri saldırılarıyla ilgili diğer haberler tedarik zinciri sayfasında.
Sistem yöneticileri ne yapmalı
Huntress ve ConnectWise, Microsoft 365 yöneticilerinin gecikmeden şu adımları atmasını öneriyor:
- Microsoft Entra yönetim merkezinde İzleme → Oturum açma günlükleri altındaki «Service principal sign-ins» sekmesini 506e08f9-6e9a-4da4-942b-a099a03644ae uygulama kimliğiyle filtreleyin; Microsoft/Azure dışı IP'lerden, özellikle 144.172.64.128 adresinden gelen oturumları inceleyin (ConnectWise).
- ConnectWise Cloud Backup ve ConnectWise Cloud Management – MS Teams (24205314-2b89-4e07-a2a4-579e898a5640) uygulamalarını silmeden devre dışı bırakın.
- Uygulamaları kapatmak önceden eklenmiş sırları silmediği için 13 Ekim'den bu yana tanımlanan tüm istemci sırlarını ve sertifikaları denetleyin.
- ConnectWise tüm kimlik bilgilerinin sıfırlandığını doğrulayana kadar uygulamaları yeniden etkinleştirmeyin.
ConnectWise, bu göstergelerin tek başına ortamın ele geçirildiğini kanıtlamadığını belirtiyor ve şüpheli etkinliğin SecurityPartnerSupport@ConnectWise.com adresine bildirilmesini istiyor.
Saldırganın kimliği, kimlik bilgisinin nasıl ele geçirildiği, toplam kaç kiracının etkilendiği, müşteri verisinin alınıp alınmadığı ve hizmetin ne zaman yeniden açılacağı henüz açıklanmadı.
Kaynaklar
- ConnectWise Trust Center — Cloud Backup Service Interruption Danışması, 17 Ekim 2026
- ConnectWise durum sayfası — Cloud Backup Issue Investigation
- Huntress — ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks, 16 Ekim 2026
Kapak görseli (temsili): Microsoft 365 uygulamaları — KK IN HK / Wikimedia Commons, CC BY-SA 4.0 (1200×675 kırpıldı).
