一把钥匙开千扇门：ConnectWise Cloud Backup 凭据失窃致数百个 Microsoft 365 租户沦陷

原创

威胁情报中心
威胁情报中心

奇安信威胁情报中心

2026年10月21日 14:38
北京

去阅读

供应链攻击 · 云安全 · 事件分析

一把钥匙开千扇门：
ConnectWise Cloud Backup 凭据失窃
致数百个 Microsoft 365 租户沦陷

攻击者持失窃的 Cloud Backup 应用凭据，以合法备份应用的身份直接登录客户租户——没有钓鱼、没有密码破解、没有 MFA 弹窗。Huntress 已确认 173 个租户存在未授权登录，Microsoft 定性为活跃的供应链攻击。

· ConnectWise　· 供应链攻击　· Microsoft 365　· 2026.10

事件速览：2026 年 10 月 15 日，攻击者使用失窃的 ConnectWise Cloud Backup（原 SkyKick）应用凭据，以合法备份应用的身份直接登录 Microsoft 365 客户租户。整个过程中没有钓鱼、没有密码破解、没有 MFA 弹窗——因为登录的根本不是“人”，而是一个被所有客户预先授权的应用程序。Huntress 已确认 173 个租户存在未授权登录，并在近 1000 个租户中观测到来自攻击源 IP 的登录尝试。Microsoft Threat Intelligence 将本次事件定性为活跃的供应链攻击。

01 四天时间线：从凭据滥用到全线关停

根据 ConnectWise 官方公告及 Huntress、Microsoft、Todyl 等安全厂商的独立调查，事件脉络如下：

图 1｜ConnectWise Cloud Backup 供应链攻击·攻击链全流程（图源：本文依据 ConnectWise、Huntress、Microsoft、Todyl 公开披露信息绘制）

02 攻击原理：为什么 MFA 形同虚设

1. 备份应用的“合法特权”

ConnectWise Cloud Backup 是一款面向 MSP（托管服务提供商）的 SaaS 备份产品，用于备份客户的 Microsoft 365 / Google Workspace 数据。为了完成邮件、OneDrive、SharePoint、Teams 和目录数据的备份与恢复，该应用需要通过 Microsoft Entra ID 在每个客户租户中获得一组广泛的应用权限——其中包括 Microsoft 提到的 Directory.ReadWrite.All 这类高特权权限。

应用在客户租户中的化身是服务主体（Service Principal）：客户一次性授权后，这份信任长期有效，除非管理员主动撤销。

2. 失窃的是“厂商侧”凭据

本次攻击的关键在于：攻击者拿到的不是某个客户的账号密码，而是 Cloud Backup 应用自身的凭据（client assertion，客户端断言）。这类凭据保存在 ConnectWise 自己的租户中，由厂商统一持有——客户在本地做什么都无法影响它的安全性。

持有该凭据后，攻击者直接向 Microsoft 令牌端点发起请求，以备份应用的身份换取访问令牌。由于该应用早已在所有安装过它的租户中获得同意，同一把钥匙可以打开每一个租户的门，包括那些早已停用该产品但从未撤销授权的“僵尸授权”租户。

3. 为什么 MFA 和条件访问没有生效

这是本次事件中最值得防守方理解的一点：

• 攻击者以应用身份（服务主体）认证，全程没有用户登录行为；
• MFA 和绝大多数条件访问策略保护的是交互式用户登录，对应用级的 client credentials 流程根本不适用；
• 登录行为由自动化脚本完成，全部 173 个确认受害租户中没有触发任何一次 MFA 质询。

正如安全研究人员所指出的：备份服务的正常工作就需要广泛权限，任何持有其凭据的人，都会在每一个安装了该应用的租户中继承同等级别的访问权。

图 2｜信任链与影响面：一把钥匙为何能开千扇门（图源：本文依据 Huntress、Microsoft 公开披露信息绘制）

03 攻击者在租户内做了什么

多家厂商的观测存在互补，拼出了较完整的攻击行为画像：

大规模扫荡阶段（主要目标：令牌获取）

• Todyl 分析了 9 个被入侵租户，仅发现登录行为，未发现攻击者创建账户、添加权限、修改密码或通过备份应用建立持久化的证据；
• 但需要警惕的是，Huntress 特别指出：部分 Microsoft Graph 的目录读取操作不会留下审计日志，“未观测到”不等于“未发生”。

权限提升与持久化阶段（少量租户，危害更深）

• Huntress 在其监控的近 50 个租户中发现，ConnectWise Cloud Management 系列应用（Exchange Online、MS Teams、MS Graph）的服务主体自分配目录角色，多为 Exchange Administrator；
• 在一个租户中，Cloud Management - MS Teams 应用将自己提升为 Global Administrator（全局管理员），随后向另外两个应用（一个 MSP 管理工具、一个 Huntress 自家应用）添加了客户端密钥，有效期设置到 2028 年——整个持久化操作仅耗时约五分钟。Huntress 表示已发现并清除该恶意凭据；
• Microsoft 亦观测到：服务主体认证成功后存在 Graph API 侦察行为，并尝试在相关服务主体上添加额外凭据，以建立后门式直接访问。

值得注意的一个细节：10 月 15 日凌晨，一位多年未使用 SkyKick 的 MSP 管理员收到 Microsoft PIM（特权身份管理）告警——休眠的 SkyKick 服务主体将自己分配为 Exchange Administrator，且分配者正是它自己。这个“幽灵操作”成为本次事件最早暴露的蛛丝马迹之一。

04 影响范围与未解之谜

• 确认受害：Huntress 确认 173 个租户存在成功未授权登录；在近 1000 个 Entra 租户中观测到来自攻击源 IP 的登录尝试，其中 300 余个成功（未成功的多为租户中未安装该应用、服务主体不存在）；
• 第二波定向攻击：针对政策、国家安全、贸易和关键矿产领域的 16 个租户的攻击意图明显，但均未得手。这一目标选择耐人寻味；
• 备份数据：ConnectWise 表示目前没有迹象表明备份存档数据遭到访问，现有存档保持加密与隔离状态。但服务关停期间，客户无法进行备份和恢复；
• 未知事项：凭据最初如何失窃？ConnectWise 未披露；实际数据窃取规模？由于部分 Graph 读取无日志，可能永远无法完全量化；攻击者是谁？截至发稿无任何组织公开归因。

05 厂商响应

ConnectWise 的处置动作包括：

1. 10 月 17 日 07:00 UTC 禁用 7 个涉事应用身份，切断相关连接的认证通道；
2. 吊销受影响应用连接使用的证书，作废共享 Cloud Backup 凭据；
3. 全面关停 Cloud Backup 应用访问（05:01 UTC 宣布），备份任务暂停；
4. 预防性下线 SaaS Security 与 Cloud Management 服务；
5. 10 月 18 日追加披露两个攻击源 IP。

ConnectWise 特别强调：“禁用受影响连接只能阻止新的认证，不会回滚租户内已发生的变更”——已签发的访问令牌在过期前仍然有效，通过其他身份建立的未授权凭据、权限需要客户自行排查和清理。

06 防守方行动清单

综合 Huntress、Microsoft、Todyl 及 ConnectWise 的建议，使用（或曾使用）该产品的组织应立即：

图 3｜Microsoft Entra 管理中心“服务主体登录”日志：ConnectWise Cloud Backup 应用从攻击源 IP 144.172.64.128 成功登录并获取 Microsoft Graph 资源（图源：Huntress 官方博客）

1排查登录日志 —— 在 Entra 管理中心 → 监控 → 登录日志 → 服务主体登录标签页（默认的“用户登录”标签看不到），按应用 ID 506e08f9-6e9a-4da4-942b-a099a03644ae 过滤，检查是否存在来自非 Azure 地址段的登录。该应用的正常出口流量为 Azure 私有 IPv6 地址。

2禁用而非删除 —— 在租户中禁用涉事 ConnectWise 应用（保留配置以便审计），老租户中的应用可能显示为 SkyKick Cloud Manager。

3审计凭据变更 —— 检查 10 月 13 日以来所有应用新增的客户端密钥和证书，重点关注有效期异常（如至 2028 年）的凭据。

4审查角色分配 —— 检查目录审计日志中是否存在服务主体自分配角色的记录（重点关注 Exchange Administrator、Global Administrator）。

5检查 OAuth 授权与 Graph 活动 —— 审查相关应用的 OAuth 授权变更及 Graph API 调用记录。

6认清令牌时效 —— 禁用应用只能阻止签发新令牌，已签发的令牌在过期前仍可使用，撤销用户会话也不会终止应用级访问。

7备份业务连续性 —— 服务恢复时间未定，评估独立备份方案。

图 4｜Huntress 官方应急处置建议：立即禁用涉事应用（禁用而非删除）及服务主体登录日志排查要点（图源：Huntress 官方博客）

07 技术附录

7.1 MITRE ATT&CK 技术映射

7.2 失陷指标（IoC）

网络指标

身份与应用指标

User-Agent 指标

行为特征

• 服务主体登录来源为非 Azure 地址段（正常流量为 Azure 私有 IPv6）；
• 租户按 GUID 顺序被快速遍历，间隔数秒（脚本化特征）；
• 服务主体自分配目录角色（PIM 告警中分配者为其自身）；
• 应用凭据新增记录，有效期异常（如至 2028 年）。

08 结语

本次事件没有 CVE、没有补丁可打，暴露的是一个架构性问题：第三方 SaaS 应用一旦获得租户的长期授权，这份信任就持续有效，直到有人主动撤销。当厂商侧凭据失窃，所有授权过的租户同时暴露在风险之下——客户侧的任何本地防护都无法阻止。对防守方而言，非人身份（Non-Human Identity）的治理、应用同意的定期审计、以及服务主体登录日志的监控，已不是可选项。

09 参考链接

1. BleepingComputer — Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
https://www.bleepingcomputer.com/news/security/hackers-breach-microsoft-365-tenants-via-connectwise-supply-chain-attack/

2. Huntress — ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks
https://www.huntress.com/blog/vendor-credential-enables-unauthorized-access

3. The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
https://thehackernews.com/2026/10/hackers-use-compromised-connectwise.html

4. The Hacker News — ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants
https://thehackernews.com/2026/10/connectwise-suspends-cloud-backup-after.html

5. iTnews — Stolen ConnectWise 'SkyKick' credential exposed Microsoft 365 tenants
https://www.itnews.com.au/news/stolen-connectwise-skykick-credential-exposed-microsoft-365-tenants-629721

6. CoreView Intelligence Labs — ConnectWise Cloud Backup Breach
https://www.coreview.com/intelligence-labs/connectwise-cloud-backup-breach-microsoft-365

7. ConnectWise 官方安全公告
https://www.connectwise.com/company/trust/advisories