ConnectWise tedarik zinciri saldırısı: Cloud Backup askıya alındı, Microsoft 365 kiracıları hedefte

Tedarik zinciri 6 dk okuma 20 Ekim 2026

Yönetilen hizmet sağlayıcıların (MSP) yaygın kullandığı ConnectWise, 17 Ekim'de Cloud Backup (eski adıyla SkyKick) hizmetini askıya aldı. Saldırganlar, Cloud Backup'a ait uygulama kimliğini kullanarak müşterilerin Microsoft 365 ortamlarına giriş yapmaya çalıştı. Huntress'ın verilerine göre yaklaşık bin kiracıda giriş denemesi görüldü, bunların 300'den fazlası başarılı göründü. Olay hâlâ soruşturuluyor ve kritik sorular açık.

Doğrulama: Haberin özü doğru: Cloud Backup askıya alındı ve Microsoft 365 ortamlarına yönelik kimlik bilgisi kötüye kullanımı var. Üç noktada ayrıntı ekliyorum. Birincisi, ConnectWise de askıya aldığı hizmetlerin yalnızca Cloud Backup olmadığını söylüyor: SaaS Security ve Cloud Management de kapatıldı. İkincisi, "API sırrı" ifadesi Huntress'a ait. ConnectWise kimlik bilgisinin nasıl ele geçirildiğini açıklamadı. Üçüncüsü, "yüzlerce müşteri" ifadesi tahmini bir sayı: Huntress 162 kiracıda yetkisiz girişi doğruladı, ConnectWise ise tek tek hangi kiracının etkilendiğini söyleyemediğini belirtiyor. Kaynaklar: The Hacker News, CyberScoop, The Register.

Ne oldu?

Kaynakların aktardığı zaman çizelgesi şöyle (saatler kaynaklara göre küçük farklar gösteriyor):

13 Ekim: Huntress'ın giriş kayıtlarını gözden geçirmeyi önerdiği pencerenin başlangıcı.
14-15 Ekim: ConnectWise, "gelişmiş izleme" ile sorunu fark etti. The Hacker News 14 Ekim, The Register 15 Ekim diyor. 15 Ekim'de Microsoft Threat Intelligence, kötü amaçlı bir IP adresinden gelen yaygın ve başarılı girişleri görmüştü (CyberScoop).
16 Ekim: ConnectWise bir güvenlik duyurusu yayınladı (The Register).
17 Ekim: ConnectWise ilgili uygulama kimliklerini devre dışı bıraktı ve Cloud Backup'ı askıya aldı. Saat bilgisi kaynaklarda 05:00 ile 07:00 UTC arasında değişiyor.
18 Ekim: Hizmetler hâlâ kapalıydı. Yeniden açılış için bir tarih verilmedi.

Askıya alınanlar: Cloud Backup (zamanlanmış yedekler, arşiv erişimi ve geri yükleme dahil), SaaS Security ve Cloud Management. ConnectWise, SaaS Security ve Cloud Management'ın Cloud Backup ile bütünleştiği için önlem olarak kapatıldığını, askıya almanın müşteri ortamlarının ele geçirildiği anlamına gelmediğini söylüyor. Hizmetleri güvenle çalıştırabileceğinden henüz emin olmadığını belirtiyor.

Saldırgan Microsoft 365'e nasıl girdi?

Mekanizma kimlik doğrulamadaki bir tasarım gerçeğine dayanıyor. Cloud Backup, müşterinin Microsoft 365 ortamına bağlanan çok kiracılı (multi-tenant) bir uygulama. Huntress'tan Jonathan Semon'a göre, uygulamanın kimlik bilgisine sahip olan biri, uygulamanın yüklü olduğu her kiracıda müşteri hiçbir şey yapmadan erişim belirteci (token) isteyebiliyor.

Saldırgan, uygulama olarak kimlik doğrulayıp Microsoft Entra ID'den, uygulamanın zaten sahip olduğu izinlerle belirteç aldı.
Todyl'e göre bu, e-posta ve dosyaları okuma ve yazma yeteneği verdi. CyberScoop'a göre ayrıcalıklı erişim, çok faktörlü doğrulama dahil kontrolleri atlamaya izin verdi. Çünkü giriş bir kullanıcı olarak değil, bir uygulama kimliği olarak yapılıyor.
Etkilenen kiracılarda uygulamanın kendini Global Yönetici rolüne eklediği ve başka uygulamalara yeni kimlik bilgileri tanımladığı görüldü. Bu, asıl uygulama devre dışı bırakılsa bile erişimin sürmesini sağlıyor.
Microsoft, Graph API ile keşif ve ilgili hizmet sorumlusuna arka kapı olarak kimlik bilgisi ekleme girişimlerini bildirdi.

Yorum: Bu olay klasik "kullanıcı parolasını kaptırdı" senaryosu değil. Saldırı, bir sağlayıcının sahip olduğu ve bütün müşterilerinde geçerli olan tek bir kimlik bilgisi üzerinden yürüyor. MFA ya da güçlü parola müşterinin tarafında bir şey değiştirmiyor, çünkü kapı, müşterinin yetkilendirdiği uygulamanın kendisi.

Ölçek: kaç kiracı etkilendi?

Huntress, saldırgan altyapısından yaklaşık bin Entra kiracısında giriş etkinliği gördü. Bunların 300'den fazlası başarılı göründü.
CyberScoop'a göre Huntress 162 kiracıda yetkisiz girişi doğruladı ve kendi telemetrisi dışında ek ihlaller olması muhtemel.
Bazı kiracılarda gerekli hizmet sorumlusu olmadığı için erişim engellendi.
İkinci, hedefli bir dalga; politika, ulusal güvenlik, ticaret ve kritik mineral sektörlerindeki 16 kiracıyı denedi. Huntress'a göre bu denemeler başarısız oldu.

ConnectWise, kendi izlediği ortamlarda önlemlerin ardından başarılı bir tehdit etkinliği görmediğini, ancak bunun hangi müşteri kiracılarının etkilendiğini kanıtlamadığını, "her potansiyel etkilenen kiracının ayrıca gözden geçirilmesi gerektiğini" söylüyor. Arşivlerin şifreli ve izole olduğunu, erişildiğine dair kanıt bulunmadığını da belirtiyor. Bu iddia bağımsız olarak doğrulanmadı.

Ne yapmalı?

ConnectWise Cloud Backup (SkyKick), SaaS Security ya da Cloud Management kullanıyorsan ya da bir MSP bu hizmetleri senin adına kullanıyorsa, Huntress'ın önerileri şöyle:

Etkilenen uygulamaları kapalı tut. Kayıtlar normal görünse bile, açıklama gelene kadar devre dışı bırak. Dormant (kullanılmayan) SkyKick bağlantılarını da kontrol et.
Önce kayıtları sakla. Müdahaleden önce giriş ve denetim kayıtlarını dışa aktar.
13 Ekim'den bu yana giriş kayıtlarını incele. Huntress'ın yayımladığı IP adreslerinden (144.172.64.128, 144.172.64.99, 144.172.64.60) gelen girişlere bak.
Uygulama kimlik bilgilerini ve rolleri denetle. Uygulama sırlarını, federasyon güvenlerini, dizin rollerini, sahipleri, onay (consent) izinlerini ve son politika değişikliklerini gözden geçir. Tanımadığın bir uygulamaya verilmiş Global Yönetici rolü var mı kontrol et.
E-posta tarafını kontrol et. Yetkisiz posta yönlendirmesi, gelen kutusu ya da taşıma kuralları ve yetkilendirilmiş posta kutusu erişimlerine bak.
Entra denetimlerini sıkılaştır. Uygulama yönetimi politikalarıyla istemci sırlarını sınırla ya da engelle ve kimlik bilgisi ömrünü kısalt. Uygulama Yöneticisi rollerini azalt. İş yükü kimlikleri için Koşullu Erişim (ek lisans gerektirir) ve riskli hizmet sorumlularını işaretleyen Entra ID Protection'ı değerlendir.

ConnectWise ayrıca, bağlantıları kapatmanın yeni kimlik doğrulamayı durdurduğunu ama kiracıdaki yapılmış değişiklikleri geri almadığını, önceden alınmış belirteçlerin süreleri dolana ya da iptal edilene kadar kullanılabilir kalabileceğini belirtiyor. Yani devre dışı bırakmak yeterli değil, değişiklikleri de temizlemek gerekiyor.

Bilinmeyenler

Kimlik bilgisinin nasıl ele geçirildiği ve bir ürün zafiyetinin rol oynayıp oynamadığı. ConnectWise bunu açıklamadı.
Saldırganın kimliği ve amacı. Atıf yapılmadı, açık bir üstlenme de yok.
Etkilenen kiracıların toplam sayısı.
Cloud Backup'ın ne zaman yeniden açılacağı.
Arşivlenmiş verilere erişilip erişilmediği. ConnectWise "kanıt yok" diyor, bunu bağımsız doğrulayan olmadı.

Bu yazı genel bilgi amaçlıdır. Olay gelişiyor, rakamlar ve ayrıntılar değişebilir. Kendi ortamın için ConnectWise'ın ve Microsoft'un güncel duyurularını esas al.

Kaynaklar

Tüm haberlere dön