A te kulcsod a szolgáltatód kulcskarikáján lóg

Mi történt

Kezdem egy hétköznapi képpel. Odaadod a lakáskulcsod másolatát egy takarítócégnek. Megbízható cég, évek óta náluk vagy. Csak azt nem tudod, hogy a te kulcsod egy nagy karikán lóg, száz másik ügyfél kulcsa mellett. Aztán egy reggel valaki lemásolja a karikát.

2026. október 15-én pontosan ez történt, csak céges léptékben. A ConnectWise Cloud Backup for Microsoft 365 nevű szolgáltatása (korábban SkyKick) céges leveleket és fájlokat ment. Ehhez minden ügyfele Microsoft 365-környezetében, szakszóval bérlőjében (tenant), alkalmazásként van jelen. Valamikor kapott egy engedélyt, hogy olvassa a teljes levelezést, a OneDrive- és SharePoint-fájlokat és a Teams-csevegéseket. Ez az alkalmazás a gyártó saját kulcsával jelentkezik be. Ezt a kulcsot lopták el.

Ami engem a leginkább megfogott: a támadóknak nem kellett jelszó. A többlépcsős azonosítás (MFA) sem állította meg őket, mert nem ember jelentkezett be, hanem egy alkalmazás. Október 15-én kora reggel (UTC) a mentőszoftver nevében, szkriptből, bérlőről bérlőre haladva kértek hozzáférést.

A számokat a Huntress biztonsági cégtől veszem, ők publikálták a legrészletesebb elemzést. Legalább 162 bérlőben igazolt a jogosulatlan belépés (a sajtó később 173-at írt), és közel 1000 bérlőben volt próbálkozás. Két bérlőben a támadó egy másik ConnectWise-alkalmazáson át globális rendszergazdai jogot szerzett, és pótkulcsokat hagyott más megbízható alkalmazásokon, 2028-ig érvényes lejárattal. Ugyanaznap egy célzottabb második hullámban 16, szakpolitikai, nemzetbiztonsági és nyersanyag-ágazatban működő szervezetet is megpróbált elérni. Ezek többsége nem is használt ConnectWise-terméket, így a kísérletek nagyrészt kudarcot vallottak.

A Microsoft 2026. október 21-én a saját, szélesebb rálátása alapján egy harmadik számot is közölt: a támadók a ConnectWise-hozzáféréssel több mint 2250 bérlőbe próbáltak belépni. A kísérletek többsége elbukott, de a Microsoft szerint több szervezetnél tartós, kiemelt hozzáférést szereztek: alkalmazáskulcsokat cseréltek, szerepköröket módosítottak, és tömegesen olvasták a felhőben tárolt titkokat.

A ConnectWise visszavonta és lecserélte a kulcsokat, letiltotta az érintett alkalmazásokat, és külső incidenskezelőket hívott. A gyártó szerint a mentési archívumokhoz nem fértek hozzá. Az ügyfelek élő levelezésébe és fájljaiba viszont ő maga sem lát bele. A Huntress a két kompromittált bérlőben nem talált postafiók- vagy fájlmódosítást, csakhogy az ilyen olvasás nem mindig hagy nyomot a naplókban. Hogy vittek-e el adatot, egyelőre nem ismert. Ahogy az sem, hogyan került ki a kulcs.

Arra viszont már van válasz, ki állhat mögötte. A Microsoft október 21-i elemzése szerint a kínai állami érdekekhez igazodó Storm-0940 csoport, amely az ARTEX nevű, nyílt forrásként kiadott, AI-ügynökökre épülő támadókeretet használta. Az ügynökök a felderítéstől a jogosultságszerzésig kevés emberi beavatkozással, egyszerre több úton haladnak. A tágabb, szeptember óta tartó kampányban a Microsoft szerint több esetben három óránál rövidebb idő telt el a célba vételtől a kiemelt jogosultságig. Ez a Microsoft értékelése; a The Record szerint a kínai külügyminisztérium tagadta, hogy tudna az esetekről.

A végére hagytam egy fanyar csavart: óvatosságból a Cloud Backup október 17. óta, a SaaS Security és a Cloud Management október 18. óta állt, az ügyfelek ezalatt sem menteni, sem visszaállítani nem tudtak. A ConnectWise október 21-én szakaszosan, biztonsági ellenőrzéshez kötve elkezdte visszaállítani a szolgáltatásokat, de a gyártó szerint a teljes helyreállítás több napig tart, és október 22-én még nem volt szolgáltatásonkénti újrakapcsolási utasítás.

Miért számít neked

Ha a céged Microsoft 365-öt használ, és egy külsős rendszergazda-partner (MSP, managed service provider) üzemelteti, akkor valószínűleg te is adtál már kulcsot valakinek a karikájára, csak nem tudsz róla. Ezek az engedélyek évekig élnek, akkor is, ha a szolgáltatást már rég lemondtad. És aki ilyen kulcshoz jut, ma már nem kézzel próbálgat: a Microsoft szerint ebben az esetben AI-ügynökök dolgoztak, gépi sebességgel.

A tanulság nem a ConnectWise-ról szól. A támadók egyre inkább nem a jelszavadat, hanem a szolgáltatások közötti gépi bizalmat célozzák, mert ott az MFA nem véd, és a naplózás is gyengébb. Az EU NIS2-irányelve az érintett cégektől kifejezetten elvárja az ellátási lánc biztonságának kezelését. A felelősség tehát nálad marad akkor is, ha a munkát kiszervezted.

Van egy második tanulság is: a mentés maga is beszállító. A Coalition kiberbiztosító figyelmeztet, hogy ha a mentés nélküli időszakban egy másik incidens, például egy zsarolóvírus (ransomware) érkezik, a helyreállítás sokkal nehezebb. Ha a mentési szolgáltatód holnap leállna egy hétre, tudod, mivel mentenél addig?

Magyar érintettség egyelőre nem ismert. A szolgáltatást viszont MSP-k értékesítik, magyar kkv-knak is.

Red // támadói szemmel

A jelszavad nem érdekelt. Az MFA-d sem. Egy mentőszoftver nevében jöttem, és annak a dolga pont az, hogy mindent elolvasson.

Három dolog dolgozott nekem. Egy kulcs, sok zár: a mentőalkalmazásnak egyetlen identitása van, amely minden ügyfélnél működik, ahol valaha jóváhagyták. Akinél a kulcs van, végigmehet a listán, és a Sophos megfigyelése szerint ez a lista valószínűleg azokat is tartalmazta, akiknek már nem is volt aktív előfizetésük. Álcázás ingyen: a mentés tömegesen olvas leveleket és fájlokat, így a rosszindulatú olvasás pontosan úgy néz ki, mint a normál működés. Gyenge láthatóság: az alkalmazásszintű olvasás nem mindig hagy auditnyomot, az ingyenes Entra ID pedig csak hét napig őrzi a bejelentkezési naplót.

A legcsúnyább rész a pótkulcs. Ha egy megbízható alkalmazás rendszergazdai jogot kap, más alkalmazásokhoz is adhat új kulcsot. Az eredeti ajtót bezárhatod, én egy másikon jövök vissza. A letiltás tehát nem visszacsinálás: a kapcsolat lekapcsolása nem takarítja el, amit bent hagytam.

Blue // mit tegyél most

Kisvállalkozás, külsős IT-partnerrel

Kérdezd meg még ma az IT-partneredet: van-e a Microsoft 365-ödben ConnectWise- vagy SkyKick-alkalmazás, akár régi, nem használt is? Ha igen, tiltsa le (ne törölje), amíg a gyártó formális utasítást nem ad a visszakapcsolásra.
Kérd, hogy a letiltás előtt mentse ki a naplókat és az alkalmazás engedélyeit: az ingyenes csomag csak hét napig őrzi őket.
Kérdezd meg, kapott-e bármely alkalmazás rendszergazdai szerepet vagy új titkos kulcsot 2026. október 13. óta.
Gondoskodj ideiglenes mentésről a kritikus postafiókokról és fájlokról, amíg a Cloud Backup teljesen vissza nem áll.
Ha van kiberbiztosításod, nézd meg, kell-e bejelentened az esetet, és őrizd meg a naplókat.

Saját IT-val vagy MSP-ként

Tiltsd le (ne töröld) a Cloud Backup és a Cloud Management alkalmazásokat minden bérlőben, és csak a ConnectWise szolgáltatásonkénti formális utasítása után kapcsold vissza őket. Előtte mentsd az Entra- és Purview-naplókat: a Microsoft szerint a bizonyítékot a visszafordíthatatlan lépések előtt kell rögzíteni.
Nézd át az Entra „Service principal sign-ins” naplóját (nem a felhasználói bejelentkezéseket!) a Microsoft ajánlása szerint október 1-ig visszamenőleg: a sikeres és a sikertelen bejelentkezéseket külön, az alkalmazásazonosítóra szűrve, és ne csak a közzétett IP-címekre.
Nézd át az auditnaplót: szerepkör-hozzárendelések, hozzájárulások és új hitelesítő adatok minden alkalmazáson; a nem szándékosan kiosztott globális rendszergazda-jogot vond vissza.
Kapcsold be a Microsoft Graph-tevékenységnaplót, és növeld a naplómegőrzést; ez nem visszamenőleges, ezért most kell.
Vezess nyilvántartást minden külső, több ügyfelet kiszolgáló alkalmazásról, az engedélyeiről és a gazdájáról, és évente kérdezd meg az IT-partneredet: kinek adtál a nevemben hozzáférést, és melyikre van még szükség?

Szakmabelieknek: technikai részletek

CVE: nincs. A jelenlegi ismeretek szerint hitelesítőadat-kompromittálás, nem publikált sérülékenység; a gyártó szerint még nem tudni, szerepet játszott-e termékhiba.
Érintett komponensek: a ConnectWise Cloud Backup (SkyKick) Microsoft 365 enterprise alkalmazás és a Cloud Management alkalmazáscsalád (MS Teams, Exchange Online, MS Graph, Partner Center, SharePoint Online); összesen hét alkalmazásidentitás letiltva. Régebbi bérlőkben „SkyKick Cloud Manager” néven is szerepelhetnek.
Hitelesítés: OAuth 2.0 client credentials (app-only token), a gyártói bérlőben tárolt kulccsal. A Microsoft szerint valószínűleg a Directory.ReadWrite.All engedélyt használták ki; a Todyl szerint levél-, fájl- és Teams-írás/olvasás, valamint EWS teljes postafiók-hozzáférés volt elérhető.
Elkövető: a Microsoft értékelése szerint Storm-0940 (kínai állami érdekekhez igazodó, 2021 óta követett csoport), az ARTEX többügynökös AI-behatolásteszt-keretrendszerrel. A kezdeti hozzáférés módját a Microsoft sem írja le.
MITRE ATT&CK (Huntress): T1078.004 Valid Accounts: Cloud Accounts; T1098.003 Additional Cloud Roles; T1098.001 Additional Cloud Credentials. A Microsoft szerint továbbá: T1595 Active Scanning; T1195 Supply Chain Compromise; T1199 Trusted Relationship; T1528 Steal Application Access Token; T1555.006 Cloud Secrets Management Stores; T1087.004 Cloud Account; T1580 Cloud Infrastructure Discovery.
Észlelési ötletek: service principal-bejelentkezés nyilvános hosting-szolgáltató címtartományából; alkalmazás, amely saját magát szerepkörhöz rendeli, vagy másik alkalmazáshoz hitelesítő adatot ad; a kiadott tokenek a letiltás után még kb. 60–90 percig érvényesek.
Indikátorok: a teljes, hivatalos lista a Microsoft-, a Huntress- és a Todyl-elemzésben, valamint a ConnectWise státuszoldalán. Figyelem: a Cloud Backup-alkalmazás azonosítója legitim, ne tiltólistázd, csak az alkalmazást tiltsd le.
Keményítés: alkalmazáskezelési szabályzatok a titkos kulcsok élettartamára, szűkített Application Administrator- és Cloud Application Administrator-kör, Exchange alkalmazás-RBAC, és ahol a licenc engedi, feltételes hozzáférés és Entra ID Protection munkaterhelés-identitásokra. Háttér: az ASD/CISA/NCSC közös MSP-ajánlása.

Péter // a főnök megjegyzése

Szerintem ma a harmadik féltől eredő ICT-kockázat az egyik legnagyobb kockázat, amellyel egy vállalat szembenéz. A ConnectWise-eset jól mutatja, miért: az érintett cégeknél nem a saját rendszerük gyengült meg, hanem egy beszállító kulcsa került rossz kézbe. Egy kulcs, amelyet ők maguk soha nem láttak, és amelynek a védelmére semmilyen ráhatásuk nem volt.

Ezt a kockázatot megfelelően kontrollálni nagyon nehéz. Egy szolgáltató belső működésébe ritkán látunk bele, így az esetek nagy többségében csak jogi eszközök vannak a kezünkben: a szerződés, a felelősségi feltételek, a kártérítés. Ezek érvényesítése pedig legalábbis kétséges.

És itt jön a nagy kérdés: vigasztal-e bárkit egy sikeres jogérvényesítés, ha közben az üzletmenete már napok vagy hetek óta áll? A Cloud Backup ügyfelei október 17. óta mentés nélkül dolgoznak, és ma senki nem tudja megmondani, meddig. Egy leállás nemcsak pénzbe kerül: elfogyhat közben az ügyfelek türelme és bizalma is, és a bizalomvesztésbe egy vállalkozás akár bele is bukhat. A pert talán meg lehet nyerni, de mire az ítélet megszületik, könnyen lehet, hogy már nincs mit megmenteni.

Ezért a szerződés csak az utolsó védvonal. Az első az, hogy tudd, kinek adtál kulcsot a nevedben, mihez fér hozzá, és mit csinálsz, ha az a kulcs egyszer rossz kézbe kerül.

Háttéranyag szakmabelieknek

A teljes kutatás egy PDF-ben

Idővonal, szereplők, hogyan működik a támadás, teendők célcsoportonként, szakmai részletek és forrásértékelés. Egy helyen, nyomtatható formában, továbbküldhetően.

PDF · 14 oldal · 311 KB · kutatási változat v3

PDF megnyitása (magyar) English version (PDF)

Források

AI-csapattal készült, átnézte: Péter