ConnectWise Cloud Backup (SkyKick): co sprawdzić w Entra ID

Przejęte poświadczenie aplikacji ConnectWise Cloud Backup (dawniej SkyKick) pozwalało logować się do firmowych środowisk Microsoft 365, w których ta usługa kopii zapasowych ma dostęp do poczty, plików i Teams. Do wieczora 17 października firma bezpieczeństwa Huntress naliczyła prawie tysiąc dzierżaw z logowaniami z adresu napastnika. Dzierżawa to środowisko Microsoft 365 jednej organizacji. W ponad 300 z nich logowanie się udało. W sobotę 17 października o 7:01 czasu polskiego ConnectWise poinformował, że wyłącza dostęp aplikacji po swojej stronie. Kopie zapasowe klientów zostają przez to wstrzymane do odwołania. Jeśli Microsoft 365 w twojej firmie prowadzi zewnętrzny serwis IT, sprawdź w Entra ID, czy jest tam ta aplikacja. Jej wyłączenie nie usuwa poświadczeń, które w jednej z firm zdążono dopisać innym aplikacjom.

Aktualizacja z 18 października 2026, 8:45. Huntress podał wieczorem 17 października nowe liczby: prawie tysiąc dzierżaw z logowaniami z adresu napastnika, z czego ponad 300 udanych. Tam, gdzie aplikacji ConnectWise nie było, napastnik nie uzyskał dostępu. Opisał też drugą, celowaną falę z 15 października na 16 dzierżaw z sektorów polityki, bezpieczeństwa narodowego, handlu i surowców krytycznych. Te próby się nie powiodły. ConnectWise podał 18 października, że dzień wcześniej o 9:00 wyłączył po swojej stronie wszystkie siedem aplikacji z tabeli niżej. Na czas przeglądu wyłączył też usługi SaaS Security i Cloud Management. Tabelę aplikacji, oś czasu i zalecenia zaktualizowaliśmy.

Aktualizacja z 17 października 2026, 23:10. Microsoft Threat Intelligence potwierdził atak i nazwał go aktywnym atakiem na łańcuch dostaw. Według Microsoftu napastnik prawdopodobnie nadużył uprawnień, które klienci nadali aplikacji, w tym Directory.ReadWrite.All, i próbował dopisać jej nowe poświadczenia w dzierżawach, żeby zostawić sobie tylne drzwi. Huntress ocenił z wysoką pewnością, że napastnik nadużył także aplikacji ConnectWise Cloud Management dla Exchange Online, MS Teams i SharePoint Online, więc zalecenia w tabeli niżej zaostrzyliśmy. ConnectWise o 19:00 czasu polskiego unieważnił certyfikaty połączeń aplikacji u wszystkich klientów, więc dotychczasowe wspólne poświadczenia Cloud Backup przestały działać. Firma podała, że problem wykryła 14 października. Terminu przywrócenia usługi nie ma.

Co się stało z aplikacją ConnectWise Cloud Backup

ConnectWise Cloud Backup to usługa kopii zapasowych Microsoft 365 i Google Workspace dla firm MSP. Tak nazywa się zewnętrzne serwisy, które prowadzą IT innych firm. Do kopiowania skrzynek, OneDrive, SharePointa i Teams aplikacja dostaje w każdej dzierżawie szeroki dostęp do danych i katalogu użytkowników. Instaluje ją dostawca IT, więc właściciel firmy może o niej nie wiedzieć.

Według analizy Huntress z 16 października poświadczenie tej aplikacji, czyli jej cyfrowy klucz do Microsoft 365, jest w rękach napastnika. Huntress podkreśla, że ten klucz przechowuje dostawca we własnym środowisku. Nic, co klient zrobił u siebie, nie mogło więc doprowadzić do tych logowań. Jak klucz wyciekł, żadne ze źródeł nie podaje.

15 października między 8:13 a 10:34 czasu polskiego aplikacja logowała się do dzierżaw klientów z adresu 144.172.64.128. Adres należy do firmy hostingowej. Dostawała tokeny Microsoft Graph, czyli przepustki do danych w Microsoft 365. Normalnie jej ruch idzie z prywatnej sieci Azure. Dzierżawy szły po kolei co kilka sekund, według posortowanych identyfikatorów, co Huntress odczytuje jako pracę skryptu z listą celów.

Do takiego wejścia nie trzeba złośliwego oprogramowania na komputerach firmy ani hasła pracownika. Atakujący loguje się jako aplikacja, własnymi narzędziami, tak samo jak robi to usługa kopii. W takim logowaniu nie uczestniczy żaden użytkownik, więc nie pojawia się pytanie o drugi składnik. Ochrona kont pracowników, którą opisujemy w poradniku jak zabezpieczyć pocztę w Microsoft 365 przed phishingiem, tu nie zadziała.

Ilu firm dotyczy atak przez aplikację ConnectWise

16 października o 21:00 czasu polskiego Huntress potwierdzał nieuprawnione logowania w 162 dzierżawach. 17 października o 23:15 naliczył już prawie tysiąc dzierżaw z logowaniami z adresu napastnika, z czego ponad 300 udanych. W dzierżawach, w których aplikacji ConnectWise nie było, napastnik nie uzyskał dostępu. Udane logowanie samo nie dowodzi, że ktoś skopiował dane, co zastrzega też ConnectWise. Te liczby to nadal dolna granica. Poświadczenie działa w każdej dzierżawie, w której aplikacja ma zgodę administratora. Napastnik nie był więc ograniczony do firm, które Huntress zdążył sprawdzić. Huntress widzi przy tym tylko dzierżawy swoich partnerów i tylko te, w których licencje Entra pozwalają mu czytać dzienniki logowania.

Druga, celowana fala z 15 października

Według Huntress napastnik próbował 15 października dostać się z tego samego adresu do 16 dzierżaw chronionych przez tę firmę. Należą do organizacji z sektorów polityki, bezpieczeństwa narodowego, handlu i surowców krytycznych. Większość z nich nie korzysta z produktów ConnectWise. Aplikacji, przez którą szedł atak, tam nie było, więc próby się nie powiodły. Drugie przejście po tych dzierżawach wyglądało według Huntress na ręczne. Celowało w Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra i interfejsy Office 365 Management. Huntress dostał też spoza swojej bazy klientów zgłoszenia podobnej aktywności, w tym wyglądającej na działania człowieka. Sam ich nie zweryfikował. Żadne ze źródeł nie wskazuje, kto stoi za atakiem.

ConnectWise nie podał, ilu klientów korzysta z usługi ani ilu z nich dotyczy włamanie. Nie wiadomo też, czy są wśród nich polskie firmy. To drugi opisany w tym tygodniu przypadek, w którym narzędzie do kopii zapasowych stało się drogą ataku. 15 i 16 października Google i ManageEngine opisały atak przez aktualizacje AOMEI Backupper, po którym komputery same instalowały backdoora.

Firma Todyl, która badała ten sam atak w dzierżawach swoich klientów, wymienia wśród celów dziewięć dzierżaw bez aktywnej subskrypcji kopii zapasowych. Napastnik dostawał więc tokeny także tam, gdzie z usługi już nie korzystano, a aplikacja została w Entra ID.

Pierwsza Misja AI · Kodożercy

Pierwszy raz z AI? Zaczynasz od zera.

Pierwsza Misja AI to kurs dla osób bez technicznego przygotowania. Nie musisz pisać kodu ani znać żargonu. Dowiesz się, jak działa AI, jak promptować i jak korzystać z niej w pracy.

Wejdź na pokład →

Oś czasu ataku: od 13 do 18 października 2026

Ten sam adres Huntress widział już dwa dni przed logowaniami aplikacji. Godziny podajemy w UTC i w czasie polskim, który do 25 października jest dwie godziny do przodu.

Druga aplikacja ConnectWise nadała sobie Global Administratora

W jednej z dzierżaw Huntress znalazł ślad groźniejszy niż samo pobranie tokenów. 15 października o 5:44 czasu polskiego aplikacja ConnectWise Cloud Management – MS Teams dodała się do roli Global Administratora. To najwyższe uprawnienia w Microsoft 365. W ciągu pięciu minut skrypt dopisał nowe sekrety klienta dwóm innym aplikacjom: narzędziu firmy MSP i aplikacji samego Huntress. Sekrety są ważne do 2028 roku.

Sekret klienta działa jak hasło aplikacji. Kto go zna, loguje się jako ta aplikacja z dowolnego miejsca i z jej uprawnieniami. Dlatego wyłączenie aplikacji ConnectWise nie zamyka sprawy, bo dopisane sekrety działają, dopóki ktoś ich nie usunie. Huntress zwraca uwagę, że aplikacje do zarządzania w firmach MSP często mają zgodę w dzierżawach wielu klientów. Taki sekret może więc sięgać dalej niż jedna firma, choć Huntress tego dotąd nie zaobserwował.

Podobny schemat opisywaliśmy w sierpniu przy ataku przez N-able N-central, program do zarządzania komputerami klientów. Tam napastnicy zakładali tunel do utrzymania dostępu, więc zamknięcie pierwszej drogi nie wystarczało.

Tej fazy Huntress nie łączy z logowaniami z adresu 144.172.64.128. Dziennik inspekcji nie zapisuje adresu przy działaniach aplikacji. Dziennik logowania pokazuje z kolei prywatny adres z wnętrza chmury Microsoftu. Z tego samego adresu płynie zwykły ruch ConnectWise, więc nie wskazuje on sprawcy.

Co mówi ConnectWise i czego nadal nie wiadomo

ConnectWise w komunikacie z 17 października potwierdza “nieuprawniony dostęp do tożsamości aplikacji w środowisku Cloud Backup”. Firma wyłącza dostęp aplikacji, przez co kopie zapasowe klientów są wstrzymane do odwołania. Według komunikatu w ConnectWise Trust Center przerwa w usłudze nie wpływa na istniejące archiwum kopii, które będzie dostępne po przywróceniu usługi. ConnectWise pisze też, że nie ma dotąd oznak naruszenia danych z kopii partnerów.

To deklaracja dostawcy. Huntress opisuje stan ostrożniej. W jedynej dzierżawie, którą zbadał dokładnie, nie widać odczytu poczty ani plików. Odczyty katalogu przez Microsoft Graph nie zostawiają jednak śladu w dzienniku. Jego podsumowanie brzmi: tokeny wydane, niczego widocznego nie zabrano.

W aktualizacji z 17 października (19:00 czasu polskiego) ConnectWise podał, że unieważnił certyfikaty używane przez połączenia aplikacji u wszystkich klientów, a dotychczasowe wspólne poświadczenia Cloud Backup przestały działać. Problem wykrył 14 października. Do dochodzenia zatrudnił zewnętrzną firmę i od wdrożenia tych kroków nie widzi udanej aktywności napastnika w środowiskach, które monitoruje. Zastrzega przy tym, że nie ma wglądu w środowiska klientów, więc sam nie ustali, czy w konkretnym Microsoft 365 doszło do nieuprawnionych działań. Jak wyciekło poświadczenie i czy zawiniła luka w produkcie, firma nadal bada. Nie podała, ilu klientów dotyczy sprawa ani kiedy usługa wróci.

W aktualizacji z 18 października (3:00 czasu polskiego) ConnectWise dopisał, że 17 października o 9:00 wyłączył siedem swoich aplikacji. Na czas przeglądu wyłączył też usługi SaaS Security i Cloud Management. Do odwołania nie działa więc monitorowanie i alerty SaaS Security ani zarządzanie użytkownikami i licencjami w Cloud Management. Zmiany, które partnerzy robili w tych usługach, trzeba zgłaszać do działu obsługi partnerów. Firma przegląda też inne swoje usługi dla partnerów, które mogły zostać dotknięte. Archiwa kopii są według niej zaszyfrowane, odizolowane i zachowane, a dowodów dostępu do nich nie ma. Terminu przywrócenia nadal nie podała.

Jak sprawdzić w Entra ID, czy firma ma aplikację ConnectWise lub SkyKick

Aplikacje firm trzecich z dostępem do twojego Microsoft 365 są w centrum administracyjnym Microsoft Entra, na liście aplikacji dla przedsiębiorstw. Według dokumentacji Microsoftu potrzebna jest co najmniej rola Administratora aplikacji w chmurze:

1. Zaloguj się do centrum administracyjnego Microsoft Entra pod adresem entra.microsoft.com.
2. Przejdź do Entra ID → Aplikacje dla przedsiębiorstw → Wszystkie aplikacje.
3. W filtrze “Typ aplikacji” wybierz “Wszystkie aplikacje” i zastosuj go.
4. Wpisz w wyszukiwarkę “SkyKick”, potem “ConnectWise”. Dla pewności sprawdź też identyfikatory z tabeli. W starszych dzierżawach aplikacje do zarządzania mogą nazywać się “SkyKick Cloud Manager”.

ConnectWise 17 października o 9:00 czasu polskiego wyłączył po swojej stronie wszystkie siedem aplikacji z tabeli. Każe trzymać je wyłączone, dopóki nie poda instrukcji przywrócenia. Według firmy wyłączenie po stronie dostawcy i ustawienie w twojej dzierżawie to dwie różne rzeczy. Stan każdej aplikacji sprawdź więc u siebie, po identyfikatorze aplikacji. Wydane wcześniej tokeny dostępu mogą działać do chwili wygaśnięcia.

Szukaj także wtedy, gdy firma dawno zrezygnowała z usługi. Aplikacja zostaje w Entra ID, dopóki ktoś jej nie usunie, a Todyl widział tokeny wydane w dzierżawach bez aktywnej subskrypcji. Jeśli żadnej z tych aplikacji nie ma na liście, ta sprawa nie dotyczy twojej dzierżawy bezpośrednio.

Dzienniki logowania i inspekcji: gdzie szukać śladów w Entra ID

Logowań aplikacji nie widać na domyślnej zakładce z logowaniami użytkowników. Huntress i ConnectWise podają tę samą drogę:

1. W centrum administracyjnym Microsoft Entra przejdź do Entra ID → Monitorowanie i kondycja → Dzienniki logowania. Wystarczy rola Czytelnika raportów.
2. Otwórz zakładkę “Logowania jednostki usługi” (w angielskim interfejsie “Service principal sign-ins”).
3. Przefiltruj wyniki po identyfikatorze aplikacji 506e08f9-6e9a-4da4-942b-a099a03644ae.
4. W kolumnie z adresem IP szukaj adresów spoza sieci Microsoftu i Azure, a zwłaszcza 144.172.64.128.

Huntress radzi przejrzeć logowania jednostek usługi aplikacji z tabeli od około 1:00 UTC 15 października do 2:00 UTC 16 października. W czasie polskim to od 3:00 w czwartek do 4:00 w piątek. ConnectWise każe przeglądać zdarzenia od 13 października do dziś. Przy szerszym przeglądzie zaleca sięgnąć do 1 października, jeśli dzienniki są tak stare. Sprawdź osobno logowania udane i nieudane, we wszystkich kategoriach dziennika i dla wszystkich nieznanych adresów.

ConnectWise zastrzega, że taki ślad wymaga dalszego badania, ale sam nie przesądza o włamaniu. Huntress dodaje drugą stronę: czysty wynik nie wyklucza dostępu, więc aplikację i tak trzeba wyłączyć.

Dziennik inspekcji, agenci użytkownika i alerty Defender

W dzienniku inspekcji (Entra ID → Monitorowanie i kondycja → Dzienniki inspekcji) Huntress radzi szukać trzech aktywności: Add member to role, Update application i Add service principal credentials. Chodzi o wpisy, w których działała aplikacja ConnectWise lub SkyKick. Przy każdym wpisie sprawdź pole agenta użytkownika, czyli nazwę programu, który wysłał żądanie. Aplikacje ConnectWise przejrzane przez Huntress używają kiota-dotnet, a zmiany w zaatakowanej dzierżawie przyszły z Python-urllib/3.12.

ConnectWise i Microsoft podają jako wskaźniki także agentów użytkownika python-requests/2.31 i python-requests/2.34.2, a ConnectWise dopisał też curl. To narzędzia skryptowe, których używają także administratorzy, więc samo trafienie nie dowodzi włamania. Firmy z Microsoft Defender powinny według Microsoftu przejrzeć trzy rodzaje alertów: każdy związany z podejrzanym logowaniem (“Suspicious sign-in”), “Graph API activity from a Microsoft threat intelligence IP address” i “Verified Threat Actor IP”. Microsoft radzi też sprawdzić zmiany poświadczeń aplikacji i aktywność zgód OAuth związanych z identyfikatorem 506e08f9-6e9a-4da4-942b-a099a03644ae.

Ze sprawdzeniem nie warto czekać. W bezpłatnej wersji Microsoft Entra ID dzienniki logowania i inspekcji są przechowywane siedem dni, w planach P1 i P2 trzydzieści dni. Wpisy z 15 października znikną więc z bezpłatnej dzierżawy około 22 października.

Co zrobić: zalecenia Huntress punkt po punkcie

Huntress każe wyłączyć aplikację teraz, nawet jeśli w dziennikach nic nie widać. Zalecenia w kolejności z analizy:

1. W aplikacjach dla przedsiębiorstw otwórz ConnectWise Cloud Backup, wejdź we Właściwości i ustaw logowanie na “Nie”, a potem zapisz. W polskiej dokumentacji Microsoftu opcja nazywa się “Czy użytkownicy mogą się logować?”, w angielskim interfejsie “Enabled for users to sign-in?”.
2. Nie usuwaj aplikacji. Usunięcie kasuje zgodę administratora, a do przywrócenia usługi trzeba będzie udzielić jej od nowa.
3. Wyszukaj inne aplikacje ConnectWise i SkyKick. Jeśli nie możesz potwierdzić, że któraś jest bezpieczna, też ją wyłącz, bez usuwania, do czasu potwierdzenia od ConnectWise.
4. Jeśli aplikacja ConnectWise lub SkyKick ma rolę w katalogu, zwłaszcza Global Administrator albo Privileged Authentication Administrator, przejrzyj ją. Po wyłączeniu aplikacji usuń każdą rolę, której świadomie nie nadawałeś.

Wyłączenie nie usuwa tego, co ktoś mógł zostawić w dzierżawie wcześniej. Dlatego kolejne zalecenia dotyczą przeglądu:

1. Przejrzyj sekrety klienta i certyfikaty wszystkich aplikacji dla przedsiębiorstw i rejestracji aplikacji, zaczynając od narzędzi do zarządzania i bezpieczeństwa. Usuń nieoczekiwane, dodane od 13 października. Klienci Huntress mają objąć przeglądem także Huntress Security Platform.
2. Sprawdź w dzienniku inspekcji, czy aplikacje ConnectWise lub SkyKick nie dodawały się do ról i nie zmieniały innych aplikacji.
3. Przejrzyj zasady dostępu warunkowego. Jeśli któraś wyłącza tę aplikację z blokady, na przykład blokady według lokalizacji, infrastruktura atakującego nie jest tam blokowana. Takie wyjątki przejrzyj po wyłączeniu aplikacji.
4. Sprawdź pocztę: przekierowania na zewnątrz, reguły skrzynek ukrywające albo kasujące wiadomości, reguły transportu i nowe uprawnienia Full Access albo Send As. Ukryte reguły skrzynki pokaże w Exchange Online PowerShell polecenie Get-InboxRule -Mailbox <skrzynka> -IncludeHidden.
5. Przejrzyj nowych użytkowników, resety haseł i nowe metody uwierzytelniania zarejestrowane od 13 października.
6. Nie włączaj ponownie żadnej aplikacji ConnectWise, dopóki ConnectWise nie potwierdzi, że wymienił wszystkie poświadczenia.

Co wyłączenie aplikacji zmienia w kopiach zapasowych

Według Huntress wyłączenie wstrzymuje automatyczne kopie do czasu ponownego włączenia aplikacji. Poczta, pliki, Teams i logowania pracowników działają normalnie, a kopie już przechowywane przez ConnectWise nie są kasowane. ConnectWise sam wyłączył usługę, więc kopie i tak są wstrzymane. Według firmy zaplanowane kopie nie są wykonywane, więc dane nowe albo zmienione w czasie przerwy mogą nie mieć punktu przywracania, a odtwarzanie z archiwum jest niedostępne do czasu powrotu usługi. Huntress radzi ocenić, czy przerwa w punktach przywracania jest dla firmy problemem, i potwierdzić u ConnectWise zasady przechowywania oraz odtwarzania danych.

Gdy nie jesteś administratorem Microsoft 365

W wielu małych firmach nikt na miejscu nie ma uprawnień do Entra ID, bo wszystkim zajmuje się serwis zewnętrzny. Wtedy jedyne, co możesz zrobić, to zapytać dostawcę IT. Proponujemy cztery pytania:

• Czy w naszym Microsoft 365 jest jakakolwiek aplikacja ConnectWise albo SkyKick, w tym Cloud Backup?
• Czy jest już wyłączona i czy sprawdziliście jej logowania z 15 października?
• Czy przejrzeliście sekrety i certyfikaty naszych aplikacji dodane od 13 października i potwierdziliście ich pochodzenie?
• Skąd odtworzymy dane, dopóki kopie w ConnectWise są wstrzymane?

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Najczęstsze pytania

Czy kopie zapasowe w ConnectWise Cloud Backup są bezpieczne?

Tego nikt niezależny nie potwierdził. ConnectWise deklaruje, że archiwa kopii są zaszyfrowane i odizolowane i nie ma dowodów, że ktoś się do nich dostał. Odtwarzanie z nich jest niedostępne do czasu powrotu usługi. Huntress pisze o dzierżawach klientów: tokeny zostały wydane, odczytu poczty i plików w zbadanej dzierżawie nie widać, ale część odczytów przez Microsoft Graph nie zostawia śladu.

Czy to ta sama sprawa co luki w ScreenConnect?

To dwie osobne sprawy. ScreenConnect to program ConnectWise do zdalnej pomocy i ma własny komunikat z 3 września 2026 roku o przesyłaniu plików w sesjach. Sprawa Cloud Backup dotyczy poświadczenia aplikacji w chmurze Microsoft 365.

Podsumowanie

Przejęte poświadczenie ConnectWise Cloud Backup dawało napastnikowi dostęp usługi kopii do poczty, plików, Teams i katalogu w każdej firmie, w której aplikacja ma zgodę. Huntress naliczył logowania z adresu napastnika w prawie tysiącu dzierżaw, w ponad 300 udane. W jednej z nich druga aplikacja ConnectWise została Global Administratorem i dopisała sekrety innym aplikacjom. Microsoft nazwał to aktywnym atakiem na łańcuch dostaw. ConnectWise wyłączył usługę i siedem swoich aplikacji oraz unieważnił certyfikaty, a 18 października zdjął też SaaS Security i Cloud Management. Terminu powrotu usługi nie podał. Jeśli masz tę aplikację, także nieużywaną, wyłącz ją bez usuwania razem z sześcioma pozostałymi z tabeli i sprawdź logowania jednostki usługi z 15 października. Przejrzyj poświadczenia aplikacji dodane od 13 października i reguły w skrzynkach, w bezpłatnym Entra ID przed 22 października. Bez uprawnień administratora zapytaj o to dostawcę IT.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.