ConnectWiseのアプリ認証情報が侵害、Microsoft 365環境への不正アクセスで「Cloud Backup」など一時停止

要点

• IT管理ソフトウェア大手の米ConnectWiseは、攻撃者によってアプリケーション認証情報が悪用され、顧客のMicrosoft 365環境が侵害されたと発表した。

• 同社は2026年10月17日に対抗措置として「Cloud Backup」を含む7件のアプリケーションIDを無効化し、証明書を取り消してサービスを停止した。

• 保存済みのバックアップデータは暗号化・隔離された状態で維持されており、データ自体の侵害や不正アクセスの証拠は確認されていない。

• 攻撃者はアプリの持つ強力な権限を悪用して特権昇格や新たな認証情報の追加を行い、アクセスの永続化を試みていた可能性がある。

• 米IT管理ソフトウェア大手のConnectWiseは2026年10月18日までに、同社のアプリケーションID（クラウドサービス間で認証や認可を行うための識別子）への不正アクセスが発生し、顧客のMicrosoft 365テナントが侵害されたことを明らかにした。同社は10月17日、影響を受けた複数のアプリケーション接続を無効化するとともに、クラウドバックアップサービスの提供を一時停止する緊急措置を実施した。現時点で製品脆弱性の有無や認証情報の流出経路は特定されておらず、社内外の専門チームによる調査が進められている。

7件のアプリIDを無効化、クラウドバックアップを停止

ConnectWiseの発表によると、不正アクセスの兆候は2026年10月14日に同社のセキュリティ監視システムによって検知された。同社は社内外の調査およびインシデント対応体制を立ち上げ、10月17日07:00（UTC）をもって関連する以下の7件のアプリケーションIDを無効化する措置を講じた。

• ConnectWise Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae)
• ConnectWise Cloud Management (2399d300-6fca-4e6a-a686-399fefe75b83)
• ConnectWise Cloud Management - MS Teams (24205314-2b89-4e07-a2a4-579e898a5640)
• ConnectWise Cloud Management - Exchange Online (b78f6a77-d4e5-46fb-87e5-d1648bd02519)
• ConnectWise Cloud Management - MS Graph (0de14c77-b9b0-4137-9360-34878a929827)
• ConnectWise Cloud Management - Partner Center (412dcf96-176d-4b3a-a1b0-4981ad66971e)
• ConnectWise Cloud Management - SharePoint Online (b2b55f5b-7758-4719-8d8f-88ae172e6bdb)

同社は全ユーザーを対象に、影響を受けたアプリケーション接続で使用されていた証明書を取り消し、「Cloud Backup」サービスを停止した。さらに念のための安全措置として、「SaaS Security」および「Cloud Management」の機能についても一時的にオフライン化している。

既存バックアップの安全性と顧客環境における注意点

サービスの停止に伴い、現在は定期バックアップの実行や過去のアーカイブデータへのアクセス、リストア機能が利用できない状態となっている。一方でConnectWiseは、既存のバックアップアーカイブについては暗号化および隔離された状態で安全に保護されており、攻撃者による閲覧や侵害の痕跡は見つかっていないと説明している。

また同社は、接続の遮断によって新たな認証は防げるものの、それ以前に顧客のテナント内で行われた変更は元に戻らないと指摘している。共有バックアップ認証情報は失効したものの、以前に発行されたアクセストークン（特定のデータやAPIにアクセスするために発行される一時的な許可証）は有効期限切れや個別の無効化が行われるまで機能し続ける可能性があるという。さらに、同社が監視できる範囲外にある下流の顧客環境については直接状況を確認できない仕様であるため、個別のIDを通じて確立された不正な認証情報やアクセス権については各顧客側での確認と対処が必要になるとしている。

認証情報悪用による特権昇格と永続化の手口

今回のインシデントは、攻撃者が個々のエンドユーザーのパスワードを盗み出すことなく、アプリケーションの認証情報を悪用してMicrosoft 365環境へ直接アクセスできる点において極めて危険性が高いとされる。

攻撃者は盗み取ったアプリケーション認証情報を使ってアプリになりすまし、Microsoft Entra ID（マイクロソフトが提供するクラウド型のID・アクセス管理サービス）に対してアクセストークンを要求する。ConnectWiseの管理ツールはバックアップや管理のために強力な権限を有していることが多く、これを通じてメールボックス、SharePoint内のドキュメント、Teamsのメッセージ、ディレクトリ情報など幅広いデータへアクセスできる状態にあったという。

さらに攻撃者は、侵害したアプリケーションを「グローバル管理者」ロールに追加したり、テナント内の他の信頼されたアプリケーションにクライアントシークレット（アプリケーション認証で用いられるパスワードに相当する文字列）を追加したり、新規アプリケーションを作成して権限を付与するなどの活動を行っていた。これにより、仮に元となるConnectWiseの認証情報が無効化された後でも、別の経路から侵入を再開できる永続的な足場を構築していたとされる。

セキュリティ企業Huntressによる観測状況

セキュリティ企業のHuntressでプリンシパル・セキュリティ・オペレーションズ・アナリストを務めるJon Semon氏がThe Hacker Newsに語ったところによると、同社は10月15日08:45（UTC）に元のアドレスからの悪意あるサインインを最後に観測し、その後同日14:20頃まで手動による標的型の攻撃活動が続いていたという。

Semon氏は、ConnectWiseによるCloud Backupの遮断によりそのサービス経由の活動は停止するはずであるとしつつも、攻撃者がすでにテナント内の別アプリへ認証情報を追加していた場合、その認証情報を用いてアプリとしてアクセスを維持できるリスクがあると指摘している。Huntressは10月15日以降の新たな悪意ある活動は確認していないものの、この活動停止が公表によるものと断定する証拠はないとした。また、攻撃者はExchange Online、Teams、SharePoint向けの管理アプリも標的にしていたとみられ、あるテナントではTeamsアプリが悪用された事例が実際に確認されていると述べている。