ConnectWise tạm dừng dịch vụ Cloud Backup sau khi bị tấn công vào các Microsoft 365 Tenant

ConnectWise, nhà cung cấp phần mềm quản trị CNTT, vừa thông báo về việc vô hiệu hóa bảy định danh ứng dụng (application identities) sau khi phát hiện các đối tượng tấn công chưa xác định đã chiếm quyền truy cập trái phép vào các Microsoft 365 tenant thông qua những định danh này.

Sự cố được phát hiện vào ngày 14/10/2026 thông qua hệ thống giám sát an ninh mạng. Đến ngày 17/10/2026, ConnectWise đã chính thức tạm dừng dịch vụ Cloud Backup bằng cách thu hồi các chứng chỉ liên quan đến các kết nối ứng dụng bị ảnh hưởng trên toàn bộ người dùng.

Cơ chế tấn công nguy hiểm

Theo phân tích, kẻ tấn công đã lợi dụng thông tin xác thực (credentials) của ứng dụng để mạo danh và truy cập vào môi trường Microsoft 365 của khách hàng mà không cần đánh cắp mật khẩu riêng lẻ của từng người dùng. Bằng cách sử dụng các token truy cập từ Microsoft Entra ID dựa trên quyền hạn sẵn có của ứng dụng, kẻ tấn công có thể mở rộng quyền truy cập, bao gồm việc thêm các vai trò quản trị viên (Global Administrator), tạo ứng dụng mới hoặc thêm các client secret để duy trì sự hiện diện lâu dài trong hệ thống.

ConnectWise nhấn mạnh rằng việc vô hiệu hóa các kết nối này chỉ ngăn chặn các xác thực mới, không thể đảo ngược các thay đổi hoặc quyền hạn mà kẻ tấn công đã thiết lập trước đó trong tenant. Mặc dù các bản sao lưu hiện có vẫn được mã hóa và cô lập an toàn, nhưng người dùng hiện không thể thực hiện sao lưu mới hoặc khôi phục dữ liệu.

Cảnh báo từ chuyên gia

Công ty an ninh mạng Huntress cho biết họ đã ghi nhận một làn sóng tấn công thứ hai nhắm vào 16 tenant cụ thể vào ngày 15/10/2026 từ địa chỉ IP 144.172.64[.]128. Mặc dù các nỗ lực này không thành công, nhưng Huntress cảnh báo rằng kẻ tấn công có thể đã cài cắm các thông tin xác thực vào các ứng dụng trong tenant để duy trì quyền truy cập.

Các bước khuyến nghị cho đối tác và người dùng:

• Kiểm tra toàn bộ Microsoft 365 tenant của chính mình và của khách hàng được quản lý.
• Xác minh trạng thái các kết nối ứng dụng của ConnectWise và giữ trạng thái vô hiệu hóa cho đến khi có thông báo mới.
• Rà soát nhật ký đăng nhập từ ngày 13/10/2026, đặc biệt chú ý đến các hoạt động từ địa chỉ IP 144.172.64[.]128.
• Kiểm tra các thay đổi trái phép về quyền hạn, vai trò quản trị, các quy tắc chuyển tiếp email (mailbox forwarding) và các ứng dụng mới được tạo gần đây.
• Lưu trữ các bản ghi nhật ký (audit logs) trước khi thực hiện các bước xử lý sự cố.

ConnectWise hiện vẫn đang tiếp tục phối hợp với các chuyên gia để điều tra cơ chế lộ lọt thông tin xác thực và chưa xác định liệu có lỗ hổng bảo mật (vulnerability) nào trong sản phẩm đã góp phần vào cuộc tấn công này hay không.

Nguồn tham khảo: The Hacker News