ConnectWise Cloud Backup OAuth Uygulaması Ele Geçirildi: 173 Microsoft 365 Kiracısı

Selamlar,

Bu sabah düşen haber, özellikle MSP (yönetilen hizmet sağlayıcı) ile çalışan ya da Microsoft 365 tenant'ı yöneten herkesi ilgilendiriyor. Saldırganlar, ConnectWise Cloud Backup (eski adıyla SkyKick) uygulamasına ait bir kimlik bilgisini ele geçirip bu uygulamanın kurulu olduğu müşteri tenant'larına giriş yaptı. Huntress'in açıklamasına göre doğrulanmış yetkisiz giriş sayısı 173 tenant.

Bu olay, "kullanıcı parolası çalındı" türünden bir olay değil. Burada çalınan şey bir uygulama kimliği. Ve bu fark, savunma tarafında yapılacak her şeyi değiştiriyor.

Ne oldu?

• ConnectWise Cloud Backup, MSP'lerin müşteri M365 verilerini yedeklemesi için kullanılan bir servis. Görevini yapabilmek için posta kutularına, OneDrive, SharePoint, Teams ve dizin verilerine geniş izinle erişiyor.
  
• Huntress'e göre saldırgan, 15 Ekim 2026'da 06:13-08:34 UTC arasında (Türkiye saatiyle 09:13-11:34) 144.172.64[.]128 adresinden müşteri tenant'larında Microsoft Graph token'ı aldı.
  
• Saldırgan tenant'ları GUID sırasına göre, birkaç saniye arayla dolaştı. Araştırmacılar bunun bir hedef listesiyle çalışan bir script olduğunu düşünüyor.
  
• Aynı IP'nin 13-14 Ekim'de dört hukuk bürosu tenant'ına parola püskürtme (password spraying) denediği, ancak başarılı kullanıcı girişi görülmediği belirtildi.
  
• En az bir tenant'ta ConnectWise'ın Teams için olan başka bir uygulamasının kendini Global Administrator rolüne eklediği ve iki başka güvenilir uygulamaya yeni client secret eklediği gözlendi.
  

ConnectWise, Cloud Backup uygulama erişimini ikinci bir duyuruya kadar kapattığını ve yedek verilerin ele geçirildiğine dair kanıt bulmadığını açıkladı. Microsoft da olayı "aktif tedarik zinciri saldırısı" olarak nitelendirdi.

Neden kullanıcı oturumlarını kapatmak yetmiyor?
Todyl'in tespit mühendisliği ekibinin vurguladığı nokta çok önemli: kullanıcı oturumlarını iptal etmek bu erişimi sonlandırmıyor. Çünkü saldırgan bir kullanıcı olarak değil, servis sorumlusu (service principal) olarak giriş yapıyor. Uygulamayı tenant'ta devre dışı bırakmak yeni token alınmasını engelliyor, ancak önceden verilmiş token'lar 90 dakikaya kadar geçerli kalabiliyor.

Hemen yapılacaklar (kontrol listesi)

1. Entra yönetim merkezinde Monitoring > Sign-in logs > Service principal sign-ins sekmesine gidin. Varsayılan "User sign-ins" sekmesi bu kayıtları göstermez.
   
2. Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae ile filtreleyin.
   
3. IP sütununda Microsoft/Azure dışından gelen girişlere, özellikle 144.172.64[.]128 adresine bakın.
   
4. ConnectWise kimlik bilgilerini yenilediğini teyit edene kadar uygulamayı devre dışı bırakın.
   
5. 13 Ekim 2026'dan bu yana herhangi bir uygulamaya eklenen yeni secret/sertifikaları denetleyin.
   
6. Audit loglarında ConnectWise veya SkyKick uygulamalarının kendilerini bir dizin rolüne eklemesini arayın.
   
7. Microsoft Graph activity log'larını etkinleştirin (açık değilse bundan sonraki olaylar için).
   

PowerShell ile servis sorumlusunu hızlıca bulmak için (Microsoft Graph PowerShell modülü):

Çıkarılacak ders: Uygulama izinleri de bir saldırı yüzeyidir
Çoğu kurumda "Enterprise Applications" listesine son ne zaman bakıldığını kimse hatırlamaz. Bir kez onay verilmiş bir uygulama, yıllarca Directory.ReadWrite.All gibi çok güçlü izinlerle oturur. Bu olay bize şunu söylüyor:

• Her üçüncü taraf uygulama için bir sahip belirleyin.
  
• Gerçekten gerekmeyen yüksek izinleri kaldırın.
  
• Servis sorumlusu girişlerini SIEM'e alın ve bilinmeyen IP'lerden gelenlere alarm kurun.
  
• Kullanıcıların uygulamalara kendi başına onay vermesini (user consent) kısıtlayın.
  

Hikaye hâlâ gelişiyor; yeni bilgi geldikçe bu konuyu güncelleyeceğim.

Kaynaklar

• The Hacker News - "Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants" (17 Ekim 2026)
  
• Huntress, Todyl ve Microsoft açıklamaları (haber içinde aktarıldığı şekliyle)
  
• ConnectWise güvenlik duyurusu