ConnectWiseの認証情報悪用、M365の2,250超を標的

何が起きたのか

米ConnectWiseは2026年10月16日（米国東部時間の午後）、Microsoft 365のバックアップサービス「Cloud Backup」（旧SkyKick）で、不正なアクセスの試みを調べていると公表しました。翌17日の未明には、アプリケーションの身元（認証情報）への不正アクセスを確認したと更新しています。

マイクロソフトは10月21日に分析を公表しました。中国の国家に連なるとされる攻撃者Storm-0940が、オープンソースのAIエージェント型の侵入テストツール「ARTEX」で作業を自動化し、2,250を超えるテナント（Microsoft 365の契約単位）へサインインを試みたとしています。複数の環境で強い権限に届き、最初の標的にしてから3時間かからなかった例もあります。マイクロソフトは、自社の製品や仕組みの欠陥が原因ではないと明記しています。

セキュリティ企業のHuntressは、10月16日の時点で162テナントの不正なサインインを確認しました。約50のテナントでは、ConnectWiseのアプリが自分に管理者の役割を与える動きもありました。Huntressは、この攻撃者の動きは速く、機械的で、狙いを選ばない印象だったと説明しています。ただしマイクロソフトとHuntressのどちらも、アプリが認証できたことだけでは、メールやファイルが実際に読まれたかどうかは分からないとしています。

漏れた情報

調査中です。ConnectWiseは、保管中のバックアップの内容は暗号化と隔離がされており、侵害の兆候はないとしています。ただし、同社からは顧客のMicrosoft 365の環境の中が見えず、個別の被害は確認できないと説明しています。侵害された組織の総数と、認証情報が盗まれた経路は公表されていません。Huntressは、問題の認証情報はベンダー側の環境にあり、顧客側の操作で作られたものではないとしています。

会社の対応

ConnectWiseの経過は次のとおりです。

• 10月17日：Cloud Backupのアプリの接続に使う証明書を、すべての利用者分で失効させました。共有の認証情報も無効にし、外部のインシデント対応会社を入れています。
• 10月17日（世界時の7時）：7つのアプリの身元を無効にし、連動するSaaS SecurityとCloud Managementも、念のため止めました。すでに発行されたトークンは、期限が切れるまで使える場合があると説明しています。
• 10月19日：アカウントと認証情報の全面的な再設定を終えました。
• 10月28日：Microsoft 365のバックアップと復元から、新しいアプリ「ConnectWise Cloud Backup for M365」で順に再開しました。パートナーはテナントごとに、このアプリの承認をやり直す必要があります。
• 11月3日：バックアップの状態の報告機能などが戻りました。11月4日の更新では、請求関連などが復旧の途中です。

承認をやり直しただけでは、バックアップが動いているとは言えません。ConnectWiseは、新しいスナップショットが成功したことを確かめるよう案内しています。止まっていた期間は、スナップショットの履歴に空白として残ります。以前に無効にしたアプリは、同社が指示するまで有効に戻さないよう求めています。

日本の会社に関係すること

この攻撃では、利用者のログインを経ずに、外部サービスに渡してあった権限がそのまま使われました。アプリが自分の資格で動く仕組みなので、利用者のパスワードを強くしたり多要素認証にしたりしても、この経路は防げません。保守会社が入れた連携アプリは、自社で把握していないことがあります。この製品を使っていなくても、接続している外部アプリと、そのアプリが持つ権限は確かめておく必要があります。

マイクロソフトとHuntressが示した確認の手順を、管理者がそのまま使える形にまとめます。

該当のアプリは、削除する前に無効にします。削除すると、元に戻すときに同意をやり直すことになり、設定の証拠も残りません。アプリは表示名ではなく、アプリケーションIDで探します。

Microsoft Entraのサインインログと監査ログは、先に保存しておきます。少なくとも10月15日から、記録が残っていれば10月1日から、サービスプリンシパル（アプリの身元）のサインインを見直します。

アプリやサービスプリンシパルに、身に覚えのない認証情報（シークレットや証明書）が10月13日以降に足されていないかを調べます。ConnectWiseやSkyKickのアプリに、グローバル管理者などの役割が付いていないかも見ます。疑わしい動きが確認できたら、不要な権限を取り消し、認証情報を替えます。

メールの乗っ取りまで進んだ例は、M365で79組織のメール乗っ取り 多要素認証の後の情報を悪用にあります。