ConnectWise通じたサプライチェーン攻撃でMicrosoft 365テナントが侵害される

ConnectWise通じたサプライチェーン攻撃でMicrosoft 365テナントが侵害される

BleepingComputer – October 17, 2026

ConnectWiseが、Cloud Backupサービス（旧SkyKick Cloud Backup）を狙ったサプライチェーン攻撃を受けて顧客による同サービスへのアクセスをシャットダウン。この攻撃で、攻撃者はCloud Backup環境内のアプリケーションアイデンティティへ不正にアクセスし、複数顧客のMicrosoft 365テナントを侵害したという。

Cloud Backupは、クラウドデータのバックアップや復元のためにMSPやIT担当チームなどに使用されているサービス。Microsoft 365やGoogle Workspaceといったクラウド環境内のEメールやファイルなど、顧客のクラウドデータを保護・復元するのを支援する役割を持つ。

Microsoft 365のバックアップに関しては、Cloud BackupサービスはMicrosoft Entra IDを通じて付与されるアクセス許可を使って同クラウド環境内にアクセスすることが可能。Cloud Backupには「サービスプリンシパル」と呼ばれるアプリケーションIDが割り当てられており、これによって付与されるアクセス許可に応じたリソースへのアクセスが可能になっている。

Cloud Backupに関連する悪意ある活動の報告は10月16日（現地時間）から浮上し始め、管理者らからは「SkyKick/CW侵害」の可能性がある事象により、Microsoft 365テナント内の顧客データへの不正アクセスが行われているなどと伝えていた。その後、同じ日のうちにセキュリティ企業Huntressがこの活動を確認。10月16日19時（日本時間17日4時）の時点で、162件のMicrosoft 365テナントに対する不正なサインインが観測されていると述べた。

加えてマイクロソフトも、Cloud Backupサービスに関連する悪意ある活動の発生を認め、10月15日に144.172.64[.]128というIPアドレスから不正な認証試行が行われたことを特定したと伝えている。

ConnectWise自身も、16日（現地時間）にセキュリティアドバイザリ第一報を公開。Cloud Backup環境と関連する最近の不正アクセス試行について調査中であるとし、インシデント対応手順を速やかに開始したことや、封じ込め措置が講じられていること、また調査が続いていることを伝えた。またIoCとして、以下を共有した。

• ソースIPアドレス：144.172.64[.]128
• 観測されたユーザーエージェント：Python-urllib/3.12、python-requests/2.31

翌17日、ConnectWiseはアドバイザリを更新。ConnectWise Cloud Backup環境内のアプリケーションアイデンティティへの不正アクセスを特定したと述べ、予防的措置として同サービスへのアクセスを遮断したと伝えた。その上で、パートナーのバックアップデータが侵害された形跡は見つかっておらず、サービスの停止により既存のクラウドバックアップアーカイブが影響を受けることはないと請け合った。

MSP・ITチーム向けセキュリティプラットフォームTodylの研究者によると、攻撃者は何らかの方法でConnectWise Cloud Backupの有効なシークレットを入手し、これを使って個人ユーザーとしてではなくCloud Backupアプリ自身としてMicrosoft 365へ直接認証していたとされる。Todylは、このアクセス権限には同アプリがすでに取得していた同意が引き継がれており、これにより、メールおよび添付ファイル（Exchange Web Services を通じたメールボックスへの完全なアクセス権）、OneDriveおよびSharePointのファイル、またTeamsのチャットに対する読み取り／書き込みアクセス（データの復元能力も含む）が許可されたと説明した。

サインインリクエストは自動化されたスクリプトによって実行されており、ユーザーのログインが関与しないことから、MFA（多要素認証）のような保護策が無効だったという。Todylは9件のテナントでの侵入事例を分析した結果、特定されたのはサインイン活動のみだったと報告。アカウントの作成や権限の追加、パスワードの変更、永続性の確率といった活動が行われた形跡は見つからなかったと述べた。

一方で同じく同サプライチェーン攻撃を調査しているHuntressは、監視している50件近くのテナントにおいて、Cloud Backup以外のConnectWise製Cloud Managementアプリ（Exchange Online用、Microsoft Teams用、Microsoft Graph用）のサービスプリンシパルが、自分自身にディレクトリロール（大半は「Exchange 管理者」というロール）を割り当てているのを確認している。

またあるテナントでは、攻撃者によって永続性が確立されていたこともHuntressは観測。この活動では、ConnectWiseのTeams管理用アプリ（アプリID: 24205314-2b89-4e07-a2a4-579e898a5640）が自分自身に「グローバル管理者」のロールを割り当て、テナント内に存在していた別のMSP管理ツールと、Huntress自身が提供するセキュリティアプリへ不正に認証情報を追加したとされる。

さらにマイクロソフトも、サービスプリンシパルによる認証が成功後、バックドアを通じた永続化の活動が行われるのを観測。続いて、Microsoft Graph APIを使用した偵察行動や、さらなる認証除法の追加試行が実施されたと伝えている。同社は、このインシデントを「アクティブなサプライチェーン攻撃」と表現。攻撃者は「Directory.ReadWrite.All」など既存のアクセス許可を悪用した可能性が高い、と評価した。同社によれば、ConnectWiseが共有した2件に加えて、python-requests/2.34.2も関連するIoCの1つとされる。

その後更新されたConnectWiseのアドバイザリには、新たなIoCとして144.172.64[.]99および144.172.64[.]60が追加された。同社は管理者に対し、Entra内のサービスプリンシパルのサインインをチェックし、Cloud BackupのアプリケーションIDでフィルタリングして、予期せぬソースアドレスを検証することを推奨している。本記事執筆時点で、Cloud Backup、SaaS Security、Cloud Managementの各アプリが引き続き利用できない状態となっているという。

Huntressは、ベンダーによるサービスの停止によって顧客のテナントにすでに埋め込まれている認証情報が削除されるわけではないと指摘。管理者には10月13日以降の不正な追加がないか全アプリケーションにおけるシークレットおよび証明書をレビューし、エントリを削除することが求められると述べた。

ConnectWiseは、Cloud Backupの技術的な調査・緩和に関するガイドを公開。このガイドにしたがって自身のMicrosoft 365テナントおよび自身が管理する各顧客テナントをレビューし、正式な復旧指示が出るまで、影響を受けたアプリケーションを無効なままにしておくよう呼びかけている。