ConnectWise「Cloud Backup」不正アクセスで認証情報刷新とサービス停止継続、専門企業が攻撃手口を公開

要点

• ConnectWiseが「Cloud Backup」関連のアプリケーションIDへの不正アクセスを受け、アカウント刷新や認証情報の差し替えを実施した。

• 対象のバックアップ機能は停止が続いており、連携する「SaaS Security」「Cloud Management」も予防措置として一時停止されている。

• 自社監視環境での被害は確認されていないものの、顧客側のMicrosoft 365環境の個別確認と公式案内前の再接続停止が求められている。

• セキュリティ企業Huntressの調査により、特定IPからの不正サインインや管理者権限の奪取、別アプリへのバックドア設置といった手口が判明した。

• 米IT管理ソリューション大手のConnectWise（コネクトワイズ）は2026年10月20日、自社の「Cloud Backup」製品に関連するアプリケーションIDへの不正アクセスを受け、アカウントのリセットや認証情報の差し替えを実施したと発表した。同社はインシデント特定後に対象サービスを停止し、第三者専門家と共に調査と封じ込めの検証を進めている。あわせてセキュリティ企業のHuntress（ハントレス）が、攻撃者が全体管理者権限を奪って別アプリに潜伏工作を行った手口を公表した。

インシデントの経緯とConnectWiseによる緩和策

ConnectWiseによると、今回の事案は「Cloud Backup」に関連するアプリケーションID（クラウド上でプログラムを識別・認証する仕組み）への不正アクセスに起因する。同社は2026年10月14日に問題を検知し、10月17日午前5時（UTC）から緩和策の展開を開始した。

講じられた措置には、該当アプリケーション接続の無効化と「Cloud Backup」の提供停止が含まれる。また、同機能と連携する「SaaS Security」および「Cloud Management」の2製品も、予防的措置として提供が一時停止された。さらに、管理者アクセスの保護強化や独立した第三者専門家による復旧支援、パートナー向けの調査・修復用ガイダンスの公開を実施した。同社は自社監視環境で攻撃成功の兆候は見られず、停止した製品以外のサービスに影響が及んでいる証拠はないとしている。

顧客テナントへの影響確認と再接続禁止の要請

自社インフラ内での脅威活動は見られないとする一方、ConnectWiseは顧客やパートナーが運用する個別のMicrosoft 365テナント（組織ごとに独立して割り当てられるクラウド管理区画）に対する調査の重要性を訴えている。同社は「この観測結果はテナントが無事であることを証明するものではない」とし、影響を受けた可能性がある各環境の確認が不可欠であるとした。

また、設定変更や調査を行う組織に対しては、事前に証拠ログの保全や業務影響の評価を行うよう求めている。これらの対応を行っても安全が保証されるわけではないため、同社から正式な復旧手順が案内されるまでは、該当アプリケーションを再接続しないよう注意を呼びかけている。

Huntressによる侵入経路とIPアドレスの分析

セキュリティ企業のHuntressは、本事案に関する調査結果を公表した。ConnectWise製品を利用する10,000以上のテナントログを検証したところ、ベンダー認証情報を悪用したアプリケーションサインインが確認された外部IPアドレスは「144.172.64[.]128」のみであったという。

同社は同一事業者（RouterHosting、AS14956）に属する関連IPとして、以下の通信も提示している。

• 144.172.64[.]128: ベンダー認証情報を用いたアプリケーションサインイン（主要な侵入経路）
• 144.172.64[.]99: 10月10日から14日にかけて集中したパスワードスプレー（ログイン失敗）
• 144.172.64[.]60: 10月18日に観測された少数のログイン失敗
• 144.172.94[.]243: 多数の組織に対して現在も継続している広範なログイン試行の失敗

ただしHuntressは、これらパスワードスプレー（共通パスワードを多数のアカウントに試す攻撃手法）などの失敗ログについては、今回のアプリケーションサインインとは直接関係していない可能性が高いと分析している。

権限昇格と別アプリ悪用による永続化の手口

Huntressはさらに、侵害されたテナントで確認された攻撃者の侵入後活動を報告した。攻撃者は侵害したアプリケーションを用いて自身に「全体管理者（Global Administrator：テナント内の全設定を操作できる最上位権限）」を付与していた。その上で、テナント内の少数の別アプリケーションに新しいシークレット（アプリ認証用の秘密情報）を追加し、アクセスを維持するためのバックドアを確保していたという。

この権限はMicrosoft Graph（各種クラウドデータへアクセスする統合API群）を通じたディレクトリ情報の読み取りに使われた可能性があるが、メールボックスやファイルの改ざん、ユーザーやポリシーの変更といった悪用は確認されていない。なお、バックドアが設置されたアプリの選定基準は機能に関係なく無作為で、単に対象テナント内に登録されていたアプリが選ばれていたとHuntressは指摘している。