ConnectWise Cloud Backup（旧SkyKick）のアプリが悪用され、Microsoft 365テナントに侵入

Huntressによると、攻撃者は2026年10月15日から、ConnectWise（コネクトワイズ）Cloud Backupのアプリのアイデンティティを使い、少なくとも162のMicrosoft 365テナントにサインインしました。多要素認証（MFA）では防げませんでした。

著者 Tech AI Wire Team

2026年10月18日3 分で読めます

X LinkedIn はてなブックマーク

他の言語で読む:原文（英語）Deutsch日本語Français Español Português

ConnectWiseの「Latest Advisories」ページ。先頭には、旧SkyKickのCloud Backupのサービス中断に関する2026年10月18日付の告知があります。

数字で見る

tenants with confirmed unauthorized sign-ins, per Huntress: 162
successful sign-ins from the attacker's IP, Huntress's later count: 300+
ConnectWise app identities disabled on October 17: 7
MFA prompts, since the attacker signed in as an app: 0

攻撃者は2026年10月15日から、ConnectWise Cloud Backup（旧SkyKick Cloud Backup）のMicrosoft 365アプリのアイデンティティを悪用し、顧客のテナントにサインインしました。テナントとは、1つの組織が持つ独自のMicrosoft 365環境のことです。セキュリティ企業のHuntressは、少なくとも162のテナントで不正なサインインを確認しました。攻撃者は人ではなく信頼されたアプリとしてログインしたため、多要素認証（MFA）はまったく働きませんでした。

BleepingComputerによると、Microsoftはこれを進行中のサプライチェーン攻撃と呼びました。サプライチェーン攻撃では、侵入者は標的が信頼しているベンダーを経由して入り込みます。ConnectWiseは主に、マネージドサービスプロバイダー（MSP）にツールを販売しています。MSPとは、多くの中小企業のITを請け負う企業です。

攻撃の手口

バックアップアプリには広いアクセス権が必要です。そのため顧客は、MicrosoftのアイデンティティサービスであるMicrosoft Entra IDで、こうしたアプリに幅広い権限を与えます。するとアプリは、サービスプリンシパルと呼ばれる独自のアイデンティティを持ちます。これは、人の操作なしにサインインできます。

攻撃者は、バックアップアプリ自身の資格情報を使ってアクセストークンを要求しました。そして、顧客がすでに与えていた権限で、MicrosoftのGraph APIを呼び出しました。この資格情報について、研究者たちの説明は異なります。Huntressはクライアントアサーションと呼んでいますが、別のセキュリティ企業のTodylは、クライアントシークレットが使われたとしています。

Huntressの調査では、その後ConnectWiseのCloud Managementアプリの一部が、自らに管理者ロールを付与しました。そのロールは「主にExchange Administrator」でした。あるテナントでは、Teams Cloud Managementアプリが自らをGlobal Administratorにしました。このアプリは、ほかの2つのアプリにも資格情報を追加しました。そのうち1つは、Huntress自身のアプリでした。

経緯

日付（2026年、UTC）	出来事
10月13〜14日	Huntressによると、4つの法律事務所のテナントがパスワードスプレー攻撃を受けた
10月14日	ConnectWiseは、この問題を特定したとしている
10月15日01:58から	Huntressによると、悪意のあるサインインとロールの変更が始まった
10月16日17:47	ConnectWiseが最初のアドバイザリーを公開
10月16日19:00	Huntressが162のテナントでサインインを確認
10月17日	ConnectWiseが7つのアプリのアイデンティティを無効化し、Cloud Backupを停止
10月18日01:00	Cloud Backupは停止したままで、復旧時期は示されていない

件数は増え続けました。10月17日の更新でHuntressは、1,000近くのEntraテナントが攻撃者のIPアドレスからのサインイン試行を受け、300を超えるテナントで成功していたと明らかにしました。攻撃者の名前を挙げた者はいません。Huntressは、この活動をホスティング事業者のアドレス144.172.64[.]128までたどりました。

危険にさらされたデータ

Todylによると、顧客が与えた権限により、バックアップアプリはメール、OneDriveとSharePointのファイル、Teamsのチャットを読み書きできました。Todylが調べた9つのテナントで見つかったのはサインインだけで、データ窃取の証拠はありませんでした。Huntressも、メールやファイルへのアクセスは確認していません。ただし同社は、ディレクトリの読み取りは監査ログに痕跡を残さないと警告しています。

「現時点で、Cloud Backupのパートナーのバックアップデータが侵害されたことを示す兆候はありません」と、ConnectWiseはアドバイザリーで述べました。同社は予防措置として、SaaS SecurityとCloud Managementのサービスもオフラインにしています。

開発者にとっての意味

ConnectWiseのアプリは削除せず、無効化すること。 Huntressは、各テナントで影響を受けたエンタープライズアプリを無効化するよう勧めています。削除すると同意が消え、後の調査が難しくなります。古いテナントでは、「SkyKick Cloud Manager」という名前で表示されている場合があります。
トークンは停止後も残ることを忘れないこと。 Todylによると、すでに発行されたトークンは期限切れまで有効です。その期間は最長90分です。ユーザーのセッションを取り消しても、アプリのアクセスは終わりません。
新しい資格情報とロールを探すこと。 10月13日以降に追加されたクライアントシークレットと証明書を確認してください。Entraの監査ログで、自らをロールに追加したアプリを調べてください。想定外のGlobal Administrator権限があれば削除してください。
バックアップを早まって再開しないこと。 「ConnectWiseがすべての資格情報のリセットを確認するまで、影響を受けたConnectWiseアプリケーションを再び有効にしないでください」とHuntressは述べています。無効化するとバックアップは一時停止しますが、ConnectWiseがすでに保持しているコピーは削除されません。
広い同意を持つアプリをすべて監査すること。 この攻撃には盗まれたパスワードが不要で、MFAも通り抜けました。テナント全体のメールやファイルへの権限を持つサードパーティアプリは、どれも同じ種類の入口です。そうしたアプリを洗い出し、不要な権限を削り、管理できる人を限定してください。