استخدم مهاجمون بيانات اعتماد مخترقة تخص تطبيق ConnectWise Cloud Backup، المعروف سابقاً باسم SkyKick، للحصول على رموز دخول إلى بيئات Microsoft 365 الخاصة بالعملاء. وأكد تقرير صادر عن شركة Huntress في 16 أكتوبر 2026 تسجيل دخول غير مصرح به في 162 بيئة تشغيلية، في حين علقت شركة ConnectWise الخدمة كإجراء احترازي بعد تحديدها للمشكلة في 14 أكتوبر.
أوضح التقرير أن بيانات الاعتماد المخترقة تتواجد في بيئة المزود الأساسي وليس في بيئات العملاء. واستناداً إلى تحقيقات شركة Todyl، يمتلك التطبيق، بحكم موافقاته المسبقة، صلاحيات واسعة تشمل قراءة وكتابة البريد الإلكتروني، والمرفقات، وملفات OneDrive وSharePoint، ومحادثات Teams، بالإضافة إلى استعادة البيانات. وبمجرد استخدام الاعتماد، ورث المهاجمون هذه الصلاحيات المتقدمة بشكل مباشر.
وسجلت أنظمة المراقبة عمليات دخول للتطبيق في 15 أكتوبر، عبر عنوان شبكي (IP) واحد هو 144.172.64.128، شملت 17 بيئة من أصل 290 بيئة تم فحصها أولياً. وكان العنوان ذاته قد نفذ محاولات تخمين لكلمات المرور ضد أربع شركات محاماة بين 13 و14 أكتوبر، وأدى إلى قفل حسابين دون تسجيل دخول ناجح. وتوسع الهجوم لاحقاً عبر العنوان نفسه ليشمل نحو 1000 بيئة، نجح الدخول في أكثر من 300 منها.
وفي عينة تضم 50 بيئة خاضعة للمراقبة، أضافت تطبيقات ConnectWise Cloud Management نفسها إلى أدوار إدارية في الدليل، تركزت معظمها في دور Exchange Administrator. وشهدت بيئة واحدة إضافة تطبيق Teams التابع للخدمة نفسه إلى دور Global Administrator، ليقوم لاحقاً نص برمجي (سكربت) بلغة بايثون بإدراج أسرار جديدة لتطبيق إدارة يخص مزود خدمات وتطبيق Huntress ذاتها، حيث نجحت ست محاولات من أصل تسع. ورصدت موجة ثانية استهدفت 16 بيئة في قطاعات السياسات، والأمن القومي، والتجارة، والمعادن الحرجة، إلا أنها فشلت لعدم وجود تطبيق ConnectWise المستهدف داخلها.
لم تنسب Huntress الهجمات حتى الآن إلى جهة محددة، ولم تظهر سجلات التدقيق المتاحة وصولاً مباشراً إلى البريد أو الملفات. ومع ذلك، تشير التقارير إلى أن عمليات قراءة الدليل عبر واجهة Graph لا تترك أثراً تقنياً، ما يعني إمكانية استخراج البيانات رغم عدم وجود أدلة ظاهرة. وأكدت Todyl عدم استبعاد تسريب البيانات نظراً لعدم تجميع سجلات نشاط Graph في البيئات المراجعة.
من جانبها، أصدرت ConnectWise إشعاراً أمنياً في 17 أكتوبر، أعلنت فيه تعطيل سبع هويات للتطبيقات، وتعليق خدمة Cloud Backup، وإبطال شهادات الاتصالات المتأثرة، ما أوقف مهام النسخ المجدولة دون تحديد موعد لعودتها. كما أخرجت الشركة خدمات SaaS Security وCloud Management احترازياً. وأكدت الشركة عدم رصد نشاط ناجح للتهديد في البيئات التي تراقبها، مع إشارتها إلى أن بيانات النسخ الاحتياطي مشفرة ومعزولة، وأن نجاح تسجيل الدخول لا يثبت بالضرورة نسخ البيانات.
وتوصي Huntress بتعطيل تطبيقي Cloud Backup وTeams Cloud Management دون حذفهما، ومراجعة الأسرار والشهادات المضافة منذ 13 أكتوبر، مع إزالة أي دور إداري غير مصرح به. كما تنبه Todyl إلى أن تعطيل التطبيقات يوقف إصدار الرموز الجديدة، لكن الرموز الصادرة مسبقاً تبقى صالحة لمدة تصل إلى 90 دقيقة، مشددة على أهمية تفعيل سجلات نشاط Graph لتتبع العمليات المستقبلية.
