علقت شركة ConnectWise ثلاثاً من خدماتها السحابية لأجل غير مسمى، وشملت Cloud Backup وSaaS Security وCloud Management، إثر رصد دخول غير مصرح استهدف هويات تطبيقات مرتبطة بخدمة النسخ الاحتياطي السحابي، المعروفة سابقاً باسم SkyKick. ولم تحدد الشركة موعداً لاستئناف عمل الخدمات المتأثرة حتى 19 أكتوبر 2026، بحسب صفحة الحادثة على موقعها.
وتقول الشركة في المركز الموثوق إنها اكتشفت المشكلة في 14 أكتوبر، لتشرع في استجابتها العلنية بحلول 16 أكتوبر. واتخذت ConnectWise في 17 أكتوبر سلسلة تدابير صارمة، تضمنت تعطيل سبع هويات للتطبيقات، وإلغاء شهادات الاتصال المتأثرة، وإبطال بيانات اعتماد Cloud Backup المشتركة، مع توكيل جهات خارجية لإدارة التحقيق. وكإجراء احترازي، أوقفت الشركة في 18 أكتوبر خدمتي SaaS Security وCloud Management نظراً لارتباطهما البنيوي بخدمة النسخ الاحتياطي المخترقة.
أسفر هذا التعليق عن شلل تشغيلي في العمليات المجدولة للنسخ الاحتياطي، ومنع الوصول إلى الأرشيفات أو استعادتها، فضلاً عن توقف مراقبة التنبيهات الأمنية وإدارة المستخدمين والتراخيص. وتؤكد الشركة أن الأرشيفات الحالية مشفرة ومعزولة بالكامل دون وجود أي أدلة على اختراقها. ورغم عدم رصد أي نشاط هجومي ناجح في البيئات المراقبة منذ 17 أكتوبر، تقر الشركة بعدم قدرتها على تحديد أثر الهجوم على بيئات Microsoft 365 الخاصة بالشركاء أو عملائهم، مؤكدة أن آلية تسرب بيانات الاعتماد لا تزال قيد التحقيق، دون وجود ما يثبت استغلال ثغرة برمجية في منتجاتها حتى الآن.
على الجانب التقني، كشفت شركة Huntress المتخصصة في الأمن السيبراني أن المهاجم استخدم بيانات اعتماد خاصة بتطبيق Cloud Backup من نوع client assertion، متمركزة في بيئة المزود، لاختراق بيئات Microsoft 365. وأسفر هذا الهجوم عن دخول غير مصرح إلى 162 بيئة حتى 16 أكتوبر. وتفاقمت الأرقام لاحقاً، حيث أظهرت التحديثات رصد نشاط دخول من عنوان IP المشبوه ذاته استهدف نحو 1,000 بيئة على منصة Microsoft Entra، تكلل بالنجاح في أكثر من 300 بيئة.
ورجحت Huntress إساءة المهاجمين استخدام تطبيقات Cloud Management المرتبطة بخدمات Exchange Online وTeams وSharePoint Online. وسجلت التحقيقات في إحدى بيئات العملاء حادثة تصعيد صلاحيات في 15 أكتوبر، حيث أضاف تطبيق Teams نفسه إلى دور Global Administrator، ليُصار بعدها إلى إضافة أسرار عميل جديدة لتطبيقين آخرين، أحدهما يتبع لشركة Huntress، رغم عدم تأكيد ارتباط هذا النشاط بعنوان IP المهاجم المعروف.
وفي تحليل موسع شمل أكثر من 10,000 بيئة تستخدم تطبيقات ConnectWise، أكدت Huntress انحصار نشاط الدخول المشبوه في العنوان المكتشف ونطاقات Microsoft الداخلية. ورغم أن المراجعة الدقيقة لسجلات إحدى البيئات لم تظهر وصولاً مباشراً إلى رسائل البريد الإلكتروني أو الملفات، حذرت الشركة من أن عمليات القراءة عبر دليل Microsoft Graph لا تترك أثراً في سجل التدقيق، مما يجعل استبعاد وصول المهاجمين إلى البيانات أمراً غير ممكن.
وتوصي Huntress المؤسسات المتأثرة بتعطيل تطبيقات ConnectWise داخل Microsoft Entra عوضاً عن حذفها، لتفادي إبطال الموافقات السابقة التي ستتطلب إعادة تكوين عند عودة الخدمة. كما شددت على ضرورة المراجعة الشاملة للأسرار، والشهادات، والأدوار الإدارية المضافة منذ 13 أكتوبر. من جهتها، وجهت ConnectWise شركاءها بإبقاء التطبيقات السبعة معطلة، وحفظ كافة سجلات الدخول والتدقيق قبل إجراء أي تعديلات، بانتظار الإرشادات الرسمية لاستئناف الخدمات تدريجياً فور اكتمال عمليات المعالجة والتحقق الأمني.
