ConnectWise、認証情報の悪用でバックアップ停止―Microsoft 365の連携先にも点検を要請

ConnectWiseは2026年10月18日10時（日本時間）の続報で、Cloud Backup（旧SkyKick）に関連するアプリの認証情報への不正アクセスを受け、サービスの停止が続いていると発表しました。初回公表は17日2時47分（同）です。自社だけでなく、管理する顧客のMicrosoft 365環境も点検するよう求めています。

Huntressによると、攻撃者は10月15日、悪用した認証情報でMicrosoft Graphのアクセストークンを取得しました。利用者のログインを経ず、連携アプリに許可済みの権限で接続する手法です。別の観測では、1つの顧客環境でTeams向け連携アプリが全体管理者権限を付与し、他の2アプリへ新たな認証情報を追加していました。認証情報が最初に奪われた経路は公表されていません。

ConnectWiseは17日16時（日本時間）に対象の7アプリを無効化し、関連する証明書も失効させたと説明しています。ただし、発行済みトークンや別アプリに作られた侵入口は残り得ます。顧客環境での不正な権限・認証情報の追加や、メール転送設定などの確認が必要です。

Cloud Backupの定期バックアップと復元機能は利用できず、SaaS SecurityとCloud Managementも一時停止しています。保存済みバックアップへのアクセス被害を示す証拠はないとしていますが、これは稼働中のMicrosoft 365内の被害とは別の話です。不正ログインの成功だけでデータ流出を断定することもできません。

管理者は末尾の公式手順で対象アプリの状態を確認し、ログを保全したうえで、追加された不正な認証情報や権限を調査してください。復旧時期は未定で、提供元の再接続案内が出るまで対象アプリを無効のままにするよう案内されています。