ConnectWise heeft Cloud Backup, voorheen SkyKick, opgeschort na ongeautoriseerde toegang tot applicatie-identiteiten en gecompromitteerde Microsoft 365-tenants. SaaS Security en Cloud Management liggen uit voorzorg ook stil. MSP’s moeten hun eigen Microsoft 365-tenants en die van klanten zelf doorlichten. Wanneer de diensten terugkomen, is nog onduidelijk.
Voor MSP’s komt dat hard aan. Geplande back-ups draaien niet, archieven zijn niet toegankelijk en restores zijn onmogelijk. Ook monitoring en alerting van SaaS Security vallen weg, net als gebruikers- en licentiebeheer via Cloud Management.
ConnectWise nam SkyKick in september 2024 over, samen met BCDR-leverancier Axcient. SkyKick bracht vooral Microsoft 365-back-up en cloudbeheer mee.
Zeven applicaties uitgeschakeld
Op 17 oktober schakelde ConnectWise zeven applicatie-identiteiten uit. Daaronder vallen Cloud Backup en verschillende Cloud Management-koppelingen voor Teams, Exchange Online, Microsoft Graph, Partner Center en SharePoint Online. Daarnaast trok het bedrijf certificaten in, waardoor de gedeelde Cloud Backup-credentials niet langer geldig zijn.
Daarmee is niet alles opgelost. Eerder uitgegeven access tokens kunnen bruikbaar blijven tot ze verlopen. En wijzigingen die al binnen een tenant zijn doorgevoerd, worden door het uitschakelen niet teruggedraaid.
Het bedrijf stelt dat bestaande back-uparchieven versleuteld en geïsoleerd zijn, en dat er geen bewijs is dat ze zijn benaderd. Over live Microsoft 365-omgevingen zegt dat echter niets. Cloud Backup biedt volgens ConnectWise “niet de downstream security-zichtbaarheid die nodig is om zelfstandig vast te stellen” of een tenant van een partner of klant is getroffen.
MSP’s moeten zelf aan de slag
Daardoor ligt een groot deel van het onderzoek bij de partners. MSP’s moeten hun eigen tenant en die van elke klant controleren, ook omgevingen met slapende SkyKick-koppelingen. Ze moeten sign-in- en auditlogs veiligstellen en credentials, federation trusts, rollen en consent grants nalopen. Ook verdachte mailbox forwarding en inbox- of transport rules verdienen aandacht. Inmiddels heeft ConnectWise drie verdachte IP-adressen gepubliceerd in de reeks 144.172.64.x.
Daarbij tikt de klok. Entra bewaart audit- en sign-in-gegevens standaard zeven dagen bij de gratis variant en 30 dagen bij P1/P2. Een licentie-upgrade haalt verlopen historie niet terug, waarschuwt ConnectWise.
Partners die via een reseller, distributeur of marketplace leveren, moeten ervoor zorgen dat de beheerder van elke klanttenant de richtlijnen ontvangt. ConnectWise werkt samen met een extern forensisch bureau en zegt sinds de mitigaties geen succesvolle aanvalsactiviteit meer te hebben waargenomen.