ConnectWise zet drie clouddiensten offline na app-toegang

ConnectWise zet naast Cloud Backup ook SaaS Security en Cloud Management offline na ongeautoriseerde toegang tot applicatie-identiteiten; herstel, archieftoegang en onderdelen van het tenantbeheer blijven volgens het bedrijf op 18 oktober niet beschikbaar.

Voor MSP’s vallen de geplande back-ups stil. Ook archieftoegang, herstel, SaaS Security-monitoring en meldingen, en gebruikers- en licentiebeheer zijn uitgeschakeld. Zonder nieuwe back-ups groeit het gat tussen het laatste herstelpunt en nieuwe klantdata.

De voorzorgspauze raakt drie diensten

ConnectWise meldde op 16 oktober ongeautoriseerde toegangspogingen in Cloud Backup. Een dag later zette het de Cloud Backup-appverbindingen uit; in de update van 17 oktober om 17:00 UTC meldde het geen aanwijzing dat andere diensten geraakt waren. Op 18 oktober om 01:00 UTC gingen ook SaaS Security en Cloud Management uit voorzorg offline omdat die met Cloud Backup zijn geïntegreerd. ConnectWise bevestigde de uitval opnieuw in de update van 16:00 UTC. Ook de bredere dienstuitval op 18 oktober meldde The Stack die dag.

Cloud Backup-taken lopen niet en archiefinzage en herstel zijn uit. SaaS Security levert geen monitoring of meldingen; Cloud Management verwerkt geen gebruikers- of licentiewijzigingen. ConnectWise verwijst partners voor zulke wijzigingen naar Partner Care. Een hersteltijd is nog niet bekend; het bedrijf zegt eerst maatregelen te valideren. ConnectWise beloofde uiterlijk 19:00 UTC op 18 oktober een volgende update.

ConnectWise zegt dat bestaande archieven versleuteld, geïsoleerd en bewaard zijn en dat er geen aanwijzing is dat ze zijn benaderd. Toch blijven toegang en herstel uit. Omdat geplande taken niet draaien, kan nieuwe of gewijzigde data buiten bestaande herstelpunten vallen.

Aanmeldactiviteit is geen dataverliescijfer

De post over Huntress’ bevestiging van app-aanmeldingen in 173 Microsoft 365-tenants beschreef de eerste bevestigde aanmeldingen. In een latere update telde Huntress bijna 1.000 Entra-tenants met activiteit vanaf IP-adres 144.172.64.128, waarvan meer dan 300 aanmeldingen slaagden. Huntress zegt dat het ontbreken van de betreffende app-identiteit in sommige tenants toegang verhinderde. De teller gaat over aanmeldactiviteit, niet over een vastgesteld aantal tenants waaruit data is gekopieerd.

Microsoft Threat Intelligence beschrijft succesvolle service-principal-aanmeldingen op 15 oktober, gevolgd door verkenning via Microsoft Graph en pogingen nieuwe app-sleutels toe te voegen. Het adviseert onbekende app-aanmeldingen, wijzigingen in applicatiegegevens en OAuth-toestemmingen rond de ConnectWise Cloud Backup-app te controleren. De toegangsstatus in klanttenants staat daarmee los van die van de opgeslagen back-uparchieven.

ConnectWise zegt geen zicht te hebben op de Microsoft 365-omgevingen van partners en klanten en kan daardoor niet bepalen of een specifieke tenant ongeautoriseerde activiteit had. De claim over opgeslagen archieven zegt dus niets over mailboxen, bestanden of app-rechten in de live tenant.

Controleer alle zeven app-identiteiten lokaal

ConnectWise zegt dat het op 17 oktober om 07:00 UTC zeven applicatie-identiteiten heeft uitgeschakeld. Dat voorkomt nieuwe aanmeldingen via die verbindingen, maar draait geen wijzigingen terug die al binnen een tenant zijn aangebracht. Eerder uitgegeven tokens kunnen bruikbaar blijven tot ze verlopen of ongeldig worden gemaakt. Controleer daarom de eigen tenant en iedere beheerde klanttenant, ook als een SkyKick-verbinding lang niet actief lijkt.

ConnectWise adviseert vijf controlelagen. Zoek de applicaties op client-ID, omdat oudere omgevingen de naam SkyKick Cloud Manager kunnen tonen en een weergavenaam geen identiteit bewijst.

• Appstatus: verifieer de zeven client-ID’s uit het Trust Center in iedere tenant en laat de betrokken apps uitgeschakeld. Bewaar configuratie en bewijs; verwijder ze niet als eerste stap.
• Aanmeldingen: exporteer beschikbare Entra- en Microsoft 365-auditgegevens. Bekijk service-principal-aanmeldingen vanaf 13 oktober, inclusief resultaten, tijden en andere bronadressen naast het verdachte IP.
• Blijvende toegang: controleer nieuwe geheimen en certificaten, federatieve vertrouwensrelaties, app-eigenaren, rollen, toestemmingen en recente beleidswijzigingen.
• Mailboxen: zoek naar onverwachte doorstuurregels, inbox- en transportregels en gedelegeerde mailboxrechten.
• Herstel: leg per klant het laatste geslaagde back-upmoment en herstelpunt vast.

De controle van OAuth-toestemmingen op basis van scopes en eigenaarschap, niet alleen de appnaam past hierbij. Een schone IP-filter bewijst niet dat een tenant onaangeraakt is; ontbrekende loggegevens beperken wat achteraf nog vast te stellen is.

Herstel en tenantonderzoek lopen apart

Voor MSP’s lopen twee tijdlijnen. ConnectWise moet de herstelmaatregelen valideren en later uitleggen wanneer en hoe de diensten terugkomen. Elke klanttenant vraagt intussen een eigen controle van app-rechten, inloggegevens, rollen en mailboxwijzigingen. ConnectWise heeft nog geen herstel- of herautorisatiedatum; Huntress adviseert betrokken applicaties niet opnieuw in te schakelen voordat de leverancier alle app-sleutels heeft vervangen.

Dat onderscheid speelde ook bij Accenture: een leveranciersverklaring over de eigen dienstverlening liet open of gelekte cloudtokens toegang tot klantomgevingen gaven. Bij ConnectWise zijn opgeslagen back-ups volgens het bedrijf bewaard, maar blijft de status van afzonderlijke live tenants onopgelost. De beloofde update van 19:00 UTC kan de dienststatus verduidelijken; klantlogs en herstelpunten vragen nog steeds om lokale controle.