Abuso dell’applicazione ConnectWise Cloud Backup per una scansione dei token tra tenant

Il 15 ottobre 2026, i ricercatori di Sophos X-Ops hanno individuato una serie di accessi tramite service principal nei quali un attore malevolo si è autenticato utilizzando l’applicazione ConnectWise Cloud Backup (precedentemente nota come SkyKick) e ha richiesto token Microsoft Graph con autorizzazioni applicative (app-only) dai tenant Microsoft 365 dei clienti.

L'attività di scansione dannosa ha avuto origine da un singolo server privato virtuale (VPS) ed è proseguita per circa 96 minuti. I ricercatori di X-Ops non hanno riscontrato alcuna traccia di attività manuale sulla tastiera e ritengono con elevata certezza che l’attaccante abbia eseguito uno script che ha enumerato un elenco di utenti che avevano acconsentito all'utilizzo dell'applicazione.

Gli accessi non richiedevano né la password di un utente né l’autenticazione a più fattori (MFA), poiché l’attaccante si è autenticato utilizzando l’identità dell’applicazione stessa. Questa attività è coerente con un abuso di credenziali applicative del fornitore compromesse. Non è chiaro come siano state ottenute le credenziali né che cosa abbia fatto l’attore malevolo con i token acquisiti.

ConnectWise ha pubblicato un avviso relativo all’interruzione del servizio, insieme a una guida tecnica all’indagine e alla mitigazione.

L’avviso specifica che ConnectWise ha disabilitato l’accesso all’applicazione Cloud Backup per partner e clienti come misura precauzionale.

Contesto

ConnectWise Cloud Backup è un prodotto per Microsoft 365 che opera tramite un’applicazione Entra multi-tenant. Quando un cliente attiva il prodotto, concede il consenso all’applicazione nel proprio tenant. Questo consenso consente all’identità applicativa del fornitore di richiedere token Microsoft Graph per quel tenant, così da leggere i dati necessari al backup.

Un attaccante che riesca a ottenere le credenziali dell’applicazione può richiedere gli stessi token in tutti i tenant che hanno concesso il consenso.

Continua a leggere: https://www.sophos.com/en-us/blog/connectwise-cloud-backup-application-abused-in-token-sweep