Инцидент, затронувший сотни клиентов Microsoft 365, произошел в середине октября 2026 года и привлек внимание ведущих платформ кибербезопасности.
Об этом стало известно 16 октября 2026 года, когда организация опубликовала официальное предупреждение для партнеров и клиентов.
Huntress и Todyl раскрывают масштаб атаки на облачную экосистему
Инцидент затронул множество арендаторов облачной экосистемы. Платформа управленческой кибербезопасности Huntress изначально подтвердила факты несанкционированного входа в 162 партнерских и клиентских арендатора, а позднее обнаружила почти тысячу тенантов с активностью с адреса злоумышленников. Впоследствии компания Huntress подтвердила неавторизованные подключения уже в 173 клиентских окружениях.
Подобный инструмент позволяет работать с критически важными данными, а сторонние аналитики зафиксировали активность со стороны злоумышленников с IP-адреса 144.172.64[.]128 с использованием автоматизированных скриптов.
Как пояснил руководитель отдела разработки средств обнаружения в Todyl Николас Кокен, «полученный доступ унаследовал уже имевшиеся у приложения разрешения, которые позволяют читать и записывать почту и вложения (полный доступ к почтовым ящикам через Exchange Web Services), файлы в OneDrive и SharePoint, а также чаты в Teams, включая возможность восстановления данных».
Исследователи из компании Todyl проанализировали действия злоумышленников и зафиксировали аутентификацию в Microsoft Graph от имени рассматриваемого облачного приложения. При этом специалисты отмечают, что простое завершение активных сеансов пользователей не приводит к прекращению такого рода доступа.
ConnectWise отключает уязвимые сервисы после фиксации взлома
17 октября 2026 года в 07:00 UTC американский вендор программного обеспечения для поставщиков управляемых услуг отключил семь идентификаторов приложений и отозвал сертификаты для затронутых подключений. Представители компании подчеркнули, что существующие резервные архивы не затронуты данным прерыванием работы сервиса и будут доступны после восстановления всех систем.
Специалисты Huntress зафиксировали инцидент, в ходе которого одно из дополнительных приложений для Microsoft Teams назначило себя на роль глобального администратора, после чего запустило скрипт на языке Python с агентом python-urllib/3.12 для модификации других программных компонентов в тенанте и добавления новых секретов клиентам.
RAPID RESPONSE: Huntress has become aware of a widespread security incident involving ConnectWise Cloud Backup (formerly SkyKick).We’ve confirmed that an unknown threat actor abused the access they obtained in SkyKick to pivot to access customers' Microsoft 365 environments. 🧵
— https://x.com/HuntressLabs/status/2111170005433815225
Администраторам предписано срочно проверить журналы доступа
Администраторам облачных сред рекомендуется незамедлительно проверить журналы входа в службу каталогов Microsoft Entra, отфильтровать данные по соответствующему идентификатору приложения и изучить непредвиденные исходные адреса. В качестве возможных пользователей агентov при предопределенной активности фиксировались python-urllib/3.12, а также python-requests/2.31 и python-requests/2.34.2. Среди идентификаторов, требующих проверки администраторами, выделяются следующие ключевые позиции:
Вендор продолжает расследование инцидента и публикует актуальные сведения на своем специализированном ресурсе. Представители компании подчеркивают, что расследование и мероприятия по устранению последствий остаются в активной фазе.
Аналитики рынка отмечают схожесть ситуации с прошлыми крупномасштабными инцидентами в цепочке поставок программного обеспечения для поставщиков управляемых услуг, напоминая о резонансной атаке на компанию Kaseya в 2021 году. Организации, использующие сторонних провайдеров для администрирования облачных инфраструктур, продолжают находиться в зоне повышенного внимания специалистов по безопасности.
Помимо масштабной кампании, исследователи фиксировали и другие проявления активности, включая попытки подбора учетных данных в отношении отдельных компаний из юридического сектора, хотя прямой связи между этими событиями специалисты пока не установили. Мероприятия по аудиту прав доступа и ревизии выданных разрешений в корпоративных тенантах продолжаются.
Специалисты по реагированию на инциденты призывают ИТ-специалистов тщательно анализировать все изменения в реестре служб каталогов и оперативно реагировать на любые аномалии, связанные с использованием привилегированных интерфейсов прикладного программирования в облаке.
Продолжение темы
