Beveiligingsonderzoekers waarschuwen voor een incident waarbij aanvallers misbruik maken van gecompromitteerde Microsoft-toegangsgegevens. Daarbij draait het niet alleen om één account, maar om een leverancierstoepassing die in veel klantomgevingen is toegestaan. De kern: als een aanvaller een vendor-credential in handen krijgt, kan hij (afhankelijk van de rechten in elke tenant) toegang krijgen tot mail, bestanden en directory-informatie.
Omdat dit soort toegang deels via service-to-service mechanismen loopt, is “alleen gebruikersaccounts resetten” vaak niet genoeg. Hieronder lees je wat er is waargenomen, welk soort schade mogelijk is en welke stappen je nu kunt nemen om je Microsoft 365-omgeving beter af te schermen.
Wat er speelt: gecompromitteerde vendor-toegang
Het gaat om een campagne waarin onbekende dreigingsactoren een gestolen Microsoft 365-credential misbruiken dat hoort bij ConnectWise Cloud Backup (voorheen SkyKick). Deze cloud-backupdienst is ontworpen voor managed service providers (MSP’s) om data van klanten te beveiligen, waaronder data in mailboxes, OneDrive, SharePoint, Teams en directory-gegevens.
Om die backups uit te voeren, ontvangt de applicatie doorgaans brede machtigingen binnen de tenants waar deze is geïnstalleerd of geconsenteerd. Onderzoekers hebben in een reeks partner/customer tenants bevestigd dat er ongeautoriseerde aanmeldingen zijn geweest, verspreid over tenants waar de applicatie toestemming had.
Waarom dit verder gaat dan “een account is gehackt”
De bedreiging werkt doordat de aanvaller toegang krijgt tot tokens via de bestaande permissies van de toepassing. In het onderzochte scenario wordt beschreven dat de aanvaller de applicatie benadert op een manier die lijkt op hoe de backupdienst normaal werkt, om vervolgens tokens te verkrijgen die passen bij de consents die al aanwezig zijn.
Omdat die rechten zijn afgestemd op back-up en recovery, kan een aanvaller daarmee lezen (en in sommige gevallen ook schrijven) wat die backupdienst mag benaderen. Denk aan mail en bijlagen via Exchange-webdiensten, plus bestanden in OneDrive en SharePoint en Teams-gerelateerde content.
Belangrijk: sommige vormen van toegang, zoals bepaalde directory-lezing via Microsoft Graph, kunnen lastiger traceerbaar zijn in auditsporen. Daardoor is het risico niet alleen “wat er nu al is gezien”, maar ook wat er mogelijk was in de periode vóór ontdekking.
Waargenomen aanvalleractiviteiten (sign-in patronen en tooling)
Beveiligingsonderzoekers melden dat de aanvallers authenticaties uitvoerden vanaf een specifieke IP-bron. Daarbij viel op dat de toegang zich richtte op meerdere tenants met een patroon dat paste bij geautomatiseerde verwerking: aanmeldingen in korte tijdvensters en in een vaste volgorde van tenantidentificatoren.
Daarnaast is er melding gemaakt van een IP-adres dat ook werd gebruikt voor password spraying tegen verschillende rechtspersonen (law firm tenants). In de gemelde detectie werden daarbij geen succesvolle gebruikersaanmeldingen waargenomen in de eigen telemetry, maar de link toont wel hoe breed dezelfde infrastructuur kan worden ingezet.
Extra escalatie: nieuwe app-toegang en Global Administrator
In ten minste één partnertenant vonden onderzoekers signalen van een extra stap: de aanwezigheid van een aparte ConnectWise-app die zichzelf Global Administrator-rechten toekent en vervolgens credentials toevoegt aan andere trusted applicaties binnen die tenant.
Dat is een belangrijk kantelpunt. In veel MSP-scenario’s zijn sommige management- of beveiligingstoepassingen bij klanten al geconsenteerd. Door credentials toe te voegen aan zulke applicaties kan de aanvaller daardoor toegang uitbreiden naar extra omgevingen die afhankelijk zijn van hetzelfde consentiemechanisme.
Waarom dat jouw klanten kan raken
Zelfs als je leverancier-account zelf niet direct is gecompromitteerd, kan de impact je omgeving alsnog bereiken doordat de toegangslaag is gekoppeld aan een applicatie die al “vertrouwd” is in jouw tenant. Als die applicatie is geactiveerd, dan kunnen tokens die zijn uitgegeven door de service nog even blijven werken.
Mogelijke impact in Microsoft 365
Op basis van hoe deze backupdienst is ingericht, beschrijft het onderzoek een set aan privileges die in de praktijk kunnen betekenen dat een aanvaller:
- mail en bijlagen kan benaderen (volledige mailboxtoegang is mogelijk via Exchange-webdiensten afhankelijk van permissies),
- bestanden kan lezen en/of herstellen binnen OneDrive en SharePoint,
- Teams-chatdata kan benaderen,
- directory-informatie kan uitlezen via Microsoft Graph.
Daarnaast wordt genoemd dat het uitzetten van de applicatie in een tenant doorgaans voorkomt dat er nieuwe tokens worden uitgegeven, maar dat tokens die al zijn uitgegeven nog enige tijd geldig kunnen blijven.
Wat je nu kunt doen: praktische maatregelen
Omdat de aanval zich richt op service-principals en consents, vraagt aanpak vooral om: snelle isolatie, gerichte logging en audit op wijzigingen. Volg daarbij het advies om te handelen zonder te wachten op “bewijs van toegang”, omdat dat spoor niet altijd volledig zichtbaar is.
1) Zet de applicatie uit totdat credentials zijn geroteerd
De kernmaatregel die in het onderzoek wordt aanbevolen: disable de backup-app in jouw tenants totdat ConnectWise heeft bevestigd dat alle credentials zijn gereset. Daarmee verminder je de kans op het uitgeven van nieuwe tokens.
2) Controleer Microsoft Entra sign-in logs
ConnectWise deelt indicatoren van compromis die je kunt terugzoeken in Microsoft Entra ID. Concreet wordt genoemd om in Entra Admin Center te kijken naar Monitoring → Sign-in logs en daar het tabblad Service principal sign-ins te gebruiken met filter op een specifiek Application ID.
Let daarnaast op IP-adressen die afwijken van wat je als “normaal” zou verwachten. In het onderzoek wordt een specifiek verdachte IP-bron genoemd: 144.172.64.128. Controleer of dit soort activiteit in jouw omgeving voorkomt.
3) Audit voor nieuwe credentials en gewijzigde app-toegang
Onderzoekers adviseren om te zoeken naar nieuwe credentials die zijn toegevoegd sinds een relevante datum (in het beschreven incident wordt 13 oktober 2026 genoemd). Check ook Entra audit logs op ConnectWise- of SkyKick-applicaties die zichzelf toevoegen aan directory-rollen.
Dit helpt je om niet alleen “sign-ins” te zien, maar ook de configuratiewijzigingen die toegang permanent kunnen maken of escaleren.
4) Zet Graph-activiteit en relevante logging aan
Omdat sommige reads mogelijk niet volledig auditbaar zijn, is het verstandig om Microsoft Graph activity logs in te richten. Zo vergroot je de kans dat je later gericht kunt reconstrueren wat er is gebeurd en welke scope je moet beoordelen.
Gerelateerde context: waarom token-gedreven aanvallen extra lastig zijn
Dit incident laat een breder patroon zien: wanneer toegang is gekoppeld aan een geautoriseerde applicatie, kan het verschil tussen “wat een aanvaller kan” en “wat je makkelijk kunt zien” groot zijn. Daarom is het nuttig om ook je bredere beveiligingsaanpak tegen tokenmisbruik en misleidende toegang te versterken.
Wil je meer achtergrond over hoe je security alerts omzet naar effectieve actie, dan past dit onderwerp bij contextuele cybersecurity: van losse alerts naar actie.
Daarnaast kun je, afhankelijk van je omgeving, leren van incidenten rond applicaties en consentmechanismen. Ook het artikel over AI-agenten die gevoelige data blootleggen (CERT-In waarschuwing) illustreert hoe nieuwe attack paths vaak via bestaande machtigingen lopen.
Conclusie
De gemelde campagne rond ConnectWise Cloud Backup toont hoe impact zich kan verspreiden wanneer een vendor-app in veel tenants is geconsenteerd. Als een aanvaller de credential of tokens bemachtigt, kan hij profiteren van de brede rechten van de dienst en zo mail, bestanden en directory-informatie benaderen.
Door de applicatie snel uit te schakelen, sign-in en audit logs gericht te onderzoeken, en credentials- en rolwijzigingen te controleren, verlaag je het risico aanzienlijk. Wacht daarbij niet af: handel op basis van indicatoren en beperk de mogelijke exposure totdat de rotatie van alle getroffen credentials is afgerond.
Bron: https://thehackernews.com/2026/10/hackers-use-compromised-connectwise.html
