ConnectWise 憑證遭濫用：M365 備份服務成供應鏈入口
ConnectWise Cloud Backup 的 Microsoft 365 應用程式憑證遭人濫用，攻擊者藉已獲授權的身分進入 173 個 M365 租戶。iThome 報道指出，風險涉及電郵、OneDrive、SharePoint、Teams 及目錄資料；但事件並不代表所有 Microsoft 365 用戶均受影響，受影響範圍集中於相關 ConnectWise 服務及其客戶環境。
ConnectWise 已撤銷受影響的應用程式憑證，並暫停 Cloud Backup、SaaS Security 和 Cloud Management 服務，同時交由第三方專家協助調查。公司稱暫未發現備份封存資料被入侵的跡象，但客戶 M365 環境是否曾有資料被未授權讀取，仍需逐一調查；截至 10 月 18 日，復原及調查工作仍在進行。
已授權 app 為何會成為入口
這次事故的核心不在傳統帳戶密碼被盜，而是第三方雲端服務持有的應用程式憑證失守。iThome 指出，攻擊者在 10 月 15 日以 ConnectWise 備份 API 憑證向 Microsoft Graph 取得存取權杖，再以自動化方式嘗試登入不同租戶。
備份服務要完成工作，通常需要讀取客戶的郵件及雲端檔案；一旦租戶先前已授權該 app，攻擊者便可能沿用原有權限。報道更提到至少一宗個案中，攻擊者曾透過 ConnectWise app 取得全域管理員權限，並為其他 app 加入憑證。這顯示調查重點不能只放在原有服務帳戶，亦要追查事故期間是否出現新的應用程式身分或權限委派。
對使用 M365 的香港中小企及託管服務供應商而言，合理的推論是：第三方備份、保安或管理工具的便利性，同時把它們的 OAuth 授權及應用程式憑證納入企業的身分保安邊界。即使沒有採用 ConnectWise，也應檢視同類 app 是否擁有過闊的郵件、檔案或 Teams 存取權。
管理員可優先檢查甚麼
在 ConnectWise 完成個別客戶調查前，相關客戶應依供應商指引處理；其他 M365 管理員亦可把以下工作納入例行盤點：
- 檢查企業應用程式清單，確認每個第三方 app 的擁有人、用途、同意來源與 Graph 權限，移除已停用或無法確認用途的項目。
- 查閱 Microsoft Graph 的登入及稽核紀錄，留意不尋常的 app 身分登入、短時間跨多個租戶的活動、權限提升，以及新增憑證或服務主體的操作。
- 對可疑 app 先撤銷其存取權與同意授權，並按供應商及 Microsoft 的事件應變程序輪換相關憑證；同時評估業務影響，避免在未確認替代安排下令備份或管理工作中斷。
- 特別覆核全域管理員等高權限角色，以及可建立或更新其他 app 憑證的權限，確認沒有在事故期間被新增或改動。
撤銷授權可切斷可疑 app 的後續存取，但未必能抹去已被讀取的資料，也不能取代對稽核紀錄和新增身分的追查。因此，較穩妥的處理方式是把憑證撤銷、權限覆核與活動調查一併進行。
下一步要留意的是 ConnectWise 的調查結果和服務復原安排，以及受影響客戶環境中是否發現進一步的權限提升或資料存取。對其他 M365 用戶而言，這宗事件亦突顯應用程式授權清單需要像管理管理員帳戶一樣，持續覆核。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — ConnectWise備份API憑證遭濫用，173個M365租戶遭未授權存取 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
