サイバーセキュリティの研究者が、ConnectWise Cloud Backup(旧SkyKick)に関連するMicrosoft 365(M365)の認証情報が悪用されている、として警鐘を鳴らしています。正体不明の攻撃者がこの認証情報を使い、同サービスの顧客が利用するM365環境に不正にアクセスしているとされ、報じられている範囲では、少なくとも173のM365テナント(組織ごとの契約単位)への不正ログインが確認されています。
ConnectWise Cloud Backupは、企業のメールやファイルなどのM365データをバックアップするためのクラウドサービスです。バックアップサービスは、顧客のメールや文書にアクセスする強い権限を預かる仕組みのため、その権限の元になる認証情報が漏れると、顧客側の組織が直接狙われるおそれがあります。
今回のポイントは、顧客側のパスワードが破られたというより、サービス提供側の認証情報が悪用されたとされている点です。つまり利用者が自社で気をつけていても、取引先のサービスを経由して被害に遭う可能性があります。これは「サプライチェーン攻撃」と呼ばれる考え方に近いものです。なお、いわゆるセキュリティホール(ソフトの欠陥)を突く攻撃とは異なり、正規の認証情報でログインされるため、通常の利用と見分けがつきにくいのが厄介な点です。
ConnectWise Cloud Backupを利用している組織は、M365の管理画面でサインインログや外部アプリへの許可状況を確認し、心当たりのないアクセスや権限付与がないか点検することが望まれます。あわせて、ベンダーからの案内を確認し、指示があれば認証情報の再設定などの対応を行ってください。この記事は公開済みの概要情報をもとにしており、詳細は今後の続報や公式発表で変わる可能性があります。