ConnectWise Cloud Backup violato: 173 tenant Microsoft 365 esposti, token OAuth e Graph sotto attacco

Una campagna di attacco in corso sta sfruttando una credenziale compromessa legata a ConnectWise Cloud Backup per ottenere accessi non autorizzati a numerosi ambienti Microsoft 365. Il punto critico è che questo tipo di applicazione di backup, pensata per i managed service provider, necessita di permessi molto ampi per svolgere il proprio lavoro e quindi, se i token di accesso finiscono nelle mani sbagliate, gli attaccanti possono ereditare lo stesso livello di visibilità e controllo previsto per il servizio.

Le osservazioni più rilevanti indicano accessi confermati in 173 tenant partner o clienti, con autenticazioni al service principal dell’app e successiva richiesta di token Microsoft Graph. In uno scenario del genere, un aggressore può potenzialmente leggere contenuti di posta, file su OneDrive e SharePoint, dati di Teams e informazioni di directory, in base ai consensi già concessi all’applicazione nel tenant. Un dettaglio importante è la modalità automatizzata: gli accessi risultano eseguiti a pochi secondi di distanza e in un ordine coerente con liste di tenant, un segnale tipico di script e target list.

È stato inoltre evidenziato un comportamento ancora più pericoloso in almeno un tenant, dove una diversa app collegata all’ecosistema ConnectWise avrebbe ottenuto privilegi elevati come Global Administrator e avrebbe aggiunto nuove credenziali ad altre applicazioni fidate. Questa tecnica amplia il rischio oltre il singolo tenant, perché molte app usate dagli MSP sono spesso presenti anche nei tenant dei clienti, creando una catena di esposizione tipica di un attacco supply chain su identità OAuth.

Un altro aspetto operativo è che revocare le sessioni utente non interrompe necessariamente questo tipo di accesso. Disabilitare l’app nel tenant può bloccare l’emissione di nuovi token, ma i token già emessi possono rimanere validi per un periodo limitato. La finestra temporale rende essenziale intervenire rapidamente.

Azioni di sicurezza consigliate

• Verifica dei log di accesso del service principal in Microsoft Entra.
• Controllo di autenticazioni da indirizzi IP anomali.
• Revisione di modifiche alle credenziali delle app.
• Audit delle autorizzazioni OAuth connesse all’applicazione di backup.

In parallelo, il fornitore ha sospeso l’accesso dell’applicazione di Cloud Backup durante le attività di indagine e remediation.