ConnectWiseの認証情報侵害で170以上のMicrosoft 365環境に不正アクセス、管理権限の乗っ取りも判明

要点

• ConnectWiseのバックアップ製品「ConnectWise Cloud Backup」の正規認証情報が悪用され、少なくとも173のMicrosoft 365テナントで不正サインインが確認された。

• 攻撃者はスクリプトを用い、テナント識別子の昇順にアクセスして広範な権限を持つ認証トークンを取得していた。

• 一部環境では関連アプリが最高権限を奪取し、MSP管理ツールやセキュリティツールに不正な認証情報を追加していた。

• ConnectWiseは被害拡大を防ぐためアプリへのアクセスを一時停止しており、現時点でバックアップデータ自体の侵害は確認されていないとしている。

• IT管理サービス大手ConnectWiseのクラウドバックアップ製品の正規認証情報が悪用され、顧客やパートナーが運用する170件以上のMicrosoft 365環境へ不正アクセスが行われていたことが明らかになった。サイバーセキュリティ企業のHuntressやTodylが2026年10月に調査結果を公表した。該当製品は業務上広範な権限を保持していたため、攻撃者によりメールやファイルなどの組織データが閲覧可能な状態に置かれていたという。

173のテナントで不正アクセスを確認、広範な権限が悪用対象に

被害の原因となった「ConnectWise Cloud Backup（旧称SkyKick）」は、MSP（ITシステムの運用保守を請け負う事業者）向けに提供されているクラウドバックアップ・復旧サービスだ。顧客のMicrosoft 365やGoogle Workspaceデータを保護するため、導入先テナント（クラウドアカウントの運用単位）のメールボックス、OneDrive、SharePoint、Teams、ディレクトリ情報に対する広範なアクセス権限が付与されていた。

Huntressによると、侵害された正規認証情報が悪用され、173のパートナーおよび顧客テナントで不正サインインが確認された。同社のJonathan Semon氏は、認証情報が攻撃者の手に渡っており、該当アプリが同意（アクセス許可）されている全組織に影響が及ぶ状態になっていたと報告している。

スクリプトによる機械的アクセスと事前に行われた攻撃の痕跡

攻撃者は独自のツールを用い、正規サービスと同様の手順でアプリ認証を実施していた。これにより、同アプリが持つ既存の権限を引き継ぐ形で、Microsoft 365のデータ基盤「Microsoft Graph」の認証トークン（データアクセスのための電子的鍵）を不正取得していたとされる。

Semon氏の分析によれば、2026年10月15日の06時13分から08時34分（UTC）にかけ、IPアドレス「144.172.64[.]128」から顧客テナントへのアクセスが集中して行われた。攻撃者はテナント固有の識別コード（GUID）の昇順に、数秒間隔で機械的にアクセスしており、標的リストをもとにスクリプトを実行したとみられている。なお、同IPアドレスは10月13日と14日にも4つの法律事務所テナントへパスワードスプレー攻撃（共通パスワードを複数アカウントに試す手口）を行っていたが、サインインの成功は検知されなかったという。

グローバル管理者権限の奪取と他社製ツールへの拡大工作

今回のインシデントでは、単なるデータ閲覧にとどまらず、環境内でさらなる権限拡大を図る活動も確認された。Huntressが少なくとも1つのパートナーテナントを調査したところ、別の関連アプリ「ConnectWise Cloud Management app for Microsoft Teams」が悪用されていた。

同アプリは、テナント内の完全なアクセス権を持つ「グローバル管理者」ロールに自らを追加した上で、Pythonスクリプトを実行した。そして同一テナント内のMSP管理アプリと、Huntress自身のセキュリティ製品「Huntress Security Platform」の設定を変更し、両ツールに新たな認証情報（クライアントシークレット）を追加していたという。Semon氏は、MSP管理ツールは他組織のテナントにも連携され、セキュリティツールは強大な権限を持つため、ベンダー1社の侵害を超えて顧客環境全体へ被害が連鎖する危険が生じたと説明している。

トークンの有効期限とConnectWiseによる緊急遮断対応

セキュリティ企業TodylのNicholas Koken氏によると、攻撃者はアプリの同意権限を引き継ぎ、メールや添付ファイルの完全な読み書き、Teamsチャットの閲覧、データ復旧機能にまでアクセスできる状態にあったという。Koken氏は、通常のユーザーセッションを取り消してもアプリ経由のアクセスは遮断できず、テナント側でアプリを無効化しても発行済みトークンは最大90分間有効に残るため、ベンダー側が認証情報を更新するまで危険が継続すると指摘している。

事態を受け、ConnectWiseは追加通知があるまでの措置として、Cloud Backupアプリへのアクセスを全面的に停止した。同社はパートナーのバックアップデータ自体が侵害された証拠は見つかっていないと説明している。あわせて同社は、Microsoft Entra管理センターの「サービスプリンシパル（アプリ用ID）のサインイン」ログから、特定アプリID（506e08f9-6e9a-4da4-942b-a099a03644ae）や不審なIPアドレス（144.172.64[.]128）の認証履歴を確認するよう調査手順を案内している。