ConnectWise-tietomurto koskee myös asiakkaiden Microsoft 365 -ympäristöjä, ei vain varmuuskopiointipalvelua. Hyökkääjä käytti ConnectWise Cloud Backupin, entisen SkyKick Cloud Backupin, vaarantunutta sovellustunnistetietoa kirjautumiseen asiakasympäristöihin 15.10.2026. Palvelua käyttävien yritysten kannattaa tarkistaa Microsoft Entra ID:n sovelluskirjautumiset, luvattomat oikeusmuutokset ja tietojen palautusmahdollisuudet.
Käyttäjien monivaiheinen tunnistautuminen ei estänyt tätä hyökkäystapaa, koska kirjautuminen tapahtui sovelluksen identiteetillä. ConnectWisen tekemä palvelukatko ja tunnistetiedon mitätöinti eivät myöskään yksin poista hyökkääjän mahdollisesti rakentamaa muuta pääsyä asiakkaan ympäristöön.
Tilannekuva 18.10.2026: ConnectWise Cloud Backup oli edelleen poissa käytöstä. Ajastetut varmuuskopioinnit eivät toimineet, eikä palvelun kautta voinut käyttää palautustoimintoja. Asiakaskohtaisia vaikutuksia ja mahdollista tietojen anastamista selvitettiin edelleen.
Mitä ConnectWise-tietomurrossa tapahtui?
Hyökkääjä tunnistautui Microsoft 365:een varmuuskopiointisovelluksen omalla tunnistetiedolla. Näin hyökkääjä pystyi hyödyntämään oikeuksia, jotka asiakasorganisaatiot olivat jo aiemmin myöntäneet sovellukselle. Kyse on toimitusketjuhyökkäyksestä: palveluntarjoajan kautta syntynyt luottamussuhde mahdollisti pääsyn usean asiakkaan ympäristöön.
Huntress vahvisti aluksi luvattoman pääsyn 162 Microsoft 365 -asiakasympäristöön eli tenanttiin. Myöhemmässä tilannekuvassa vahvistettujen ympäristöjen määrä oli 173. Lähes tuhannessa ympäristössä havaittu toiminta hyökkääjän IP-osoitteesta ei tarkoita, että kaikki nämä ympäristöt olisi vahvistettu murretuiksi.
Sovellukselle myönnetyistä oikeuksista riippuen pääsy saattoi ulottua sähköposteihin, liitteisiin, OneDrive- ja SharePoint-tiedostoihin, Teams-sisältöön sekä hakemistotietoihin. Tekninen mahdollisuus lukea tai muuttaa tietoja ei kuitenkaan osoita, että kaikkia näitä tietoja olisi käytetty tai viety. Tämä on selvitettävä asiakasympäristön tapahtumista.
ConnectWise ilmoitti mitätöineensä vaarantuneen yhteisen tunnistetiedon ja estäneensä hyökkäykseen liittyvien sovellusidentiteettien käytön. Yhtiön mukaan tallennettujen varmuuskopioiden vaarantumisesta ei ollut näyttöä. Tämä ei ratkaise erikseen sitä, mitä asiakkaiden varsinaisissa Microsoft 365 -ympäristöissä tapahtui.
Miksi MFA ei estänyt sovelluksen kautta tehtyä hyökkäystä?
Monivaiheinen tunnistautuminen eli MFA suojaa käyttäjien kirjautumisia. Tässä hyökkäyksessä käytettiin käyttäjätilin sijasta sovellusidentiteettiä ja sen tunnistetietoa, joten käyttäjän salasanaa tai MFA-hyväksyntää ei tarvittu.
Microsoft Entra ID:n palveluidentiteetti edustaa sovellusta asiakkaan ympäristössä. Se voi käyttää esimerkiksi Microsoft Graph -rajapintaa sille myönnetyillä oikeuksilla ilman käyttäjän läsnäoloa. Siksi sovellusten oikeudet, salaisuudet, varmenteet ja suostumukset tarvitsevat oman valvontansa.
Suomi Solutionsin käytännön johtopäätös on, että Microsoft 365:n tietoturvatarkastuksessa käyttäjätilit ja sovellusidentiteetit on käsiteltävä erillisinä kokonaisuuksina. Suomi Solutions voi auttaa kartoittamaan varmuuskopiointi- ja hallintasovellukset, arvioimaan niiden oikeuksien tarpeellisuuden sekä tunnistamaan käytöstä poistuneisiin integraatioihin jääneet pääsyt.
Miten yritys tarkistaa oman Microsoft 365 -ympäristönsä?
Tarkistus kannattaa aloittaa selvittämällä, onko ympäristössä ConnectWise Cloud Backup tai siihen liittyviä Cloud Management -sovelluksia. Vanhoissa ympäristöissä sovelluksia voi löytyä myös SkyKick-nimellä. Aiemmin lopetettu palvelusopimus ei yksin takaa, että sovelluksen oikeudet on poistettu.
- Tunnista varmuuskopiointisovellus. Hyökkäyksessä käytetyn ConnectWise Cloud Backup -sovelluksen sovellustunnus on 506e08f9-6e9a-4da4-942b-a099a03644ae. Tarkasta myös siihen liittyvät hallintasovellukset.
- Rajaa epäilty pääsy. Estä hyökkäykseen liittyvien sovellusten käyttö palveluntarjoajan ja Microsoftin ajantasaisten ohjeiden mukaisesti, kunnes käytön turvallisuus on varmistettu. Dokumentoi muutokset ja niiden vaikutukset varmuuskopiointiin.
- Tallenna ja tutki lokit. Tarkasta Entra ID:n palveluidentiteettien kirjautumiset ja auditointitapahtumat 15.10.2026 sekä sitä ympäröiviltä päiviltä. Tutkinnassa havaittu IP-osoite on 144.172.64[.]128. Pelkkään osoitehakuun ei pidä rajata koko selvitystä.
- Etsi uusia pääsyreittejä. Tarkasta erityisesti 13.10.2026 alkaen lisätyt sovellussalaisuudet ja varmenteet, uudet sovellukset, OAuth-suostumukset sekä odottamattomat hakemistoroolien muutokset.
- Selvitä tietojen käyttö. Tutki saatavilla olevista lokeista poikkeava Microsoft Graph -toiminta sekä sähköpostien, tiedostojen ja muun sisällön luku-, muokkaus- ja vientitapahtumat. Dokumentoi myös lokituksen kattavuuden puutteet.
Ainakin yhdessä tutkitussa ympäristössä havaittiin toisen ConnectWise-sovelluksen oikeuksien korottaminen Global Administrator -tasolle sekä tunnistetietojen lisäämistä muihin sovelluksiin. Siksi tarkastusta ei voi rajata vain varmuuskopiointisovellukseen.
Sovelluksen estäminen ei välttämättä katkaise kaikkia jo myönnettyjä pääsytunnuksia heti. Ne voivat pysyä käyttökelpoisina voimassaolonsa loppuun tai erilliseen mitätöintiin asti. Käyttäjäistuntojen peruuttaminen ei puolestaan yksin lopeta sovelluspohjaista pääsyä.
Suomi Solutions voi auttaa yhdistämään kirjautumishavainnot oikeus- ja tunnistetietomuutoksiin sekä toteuttamaan tarvittavat rajaukset hallitusti. Tavoitteena on erottaa toisistaan epäonnistunut yritys, onnistunut kirjautuminen ja havaittu jatkotoiminta, sillä ne edellyttävät erilaista reagointia.
Miten varmuuskopioinnin katko vaikuttaa yrityksen arkeen?
Varmuuskopiointipalvelun keskeytys voi kasvattaa palautettavissa olevan tiedon ikää ja estää palautuksen juuri silloin, kun tietomurtoa selvitetään. Vaikka vanha varmuuskopioarkisto säilyisi ehjänä, sen olemassaolo ei tarkoita, että palautus olisi sillä hetkellä mahdollinen.
Esimerkiksi vahingossa poistettua asiakaskansiota tai tutkinnan aikana tarvittavaa sähköpostia ei välttämättä saada palautettua normaalilla toimintatavalla. Yrityksen on siksi selvitettävä viimeisin onnistunut varmuuskopiointi, palautustoimintojen saatavuus ja käytettävissä olevat vaihtoehdot. Microsoft 365:n omat säilytys- ja palautustoiminnot voivat auttaa joissakin tilanteissa, mutta niiden kattavuus riippuu asetuksista ja säilytysajoista.
Suomi Solutions voi auttaa arvioimaan palautuskatkon liiketoimintavaikutukset ja suunnittelemaan palautustestin, kun turvallinen palautusreitti on käytettävissä. Mahdollisen vaihtoehtoisen ratkaisun pitää olla aidosti käytettävissä ilman samaa häiriintynyttä palveluriippuvuutta.
Mitä yrityksen kannattaa tehdä nyt?
Nimeä vastuuhenkilö koordinoimaan sovelluspääsyjen tarkastusta, lokien säilyttämistä ja yhteydenpitoa ConnectWiseen tai omaan IT-palvelukumppaniin. Pyydä erikseen tieto palvelun palautumisesta ja oman asiakasympäristön tutkimisesta. Palveluntarjoajan yleinen tilannetiedote ei korvaa ympäristökohtaista selvitystä.
Jos tutkinnassa ilmenee henkilötietojen mahdollista vaarantumista, ota tietosuojavastuullinen mukaan arvioimaan ilmoitusvelvollisuuksia. Palvelun palautuessa varmista myös ajastettujen kopiointien käynnistyminen ja palautuksen toimivuus, älä pelkästään hallintanäkymän saatavuutta.
Jos yrityksesi tarvitsee apua sovellusoikeuksien tarkastamiseen, epäilyttävien muutosten selvittämiseen tai palautumiskyvyn varmistamiseen, ota yhteyttä Suomi Solutionsiin. Työ kannattaa rajata ensin omaan ympäristöön myönnettyihin pääsyihin ja liiketoiminnan kannalta tärkeimpien tietojen palautettavuuteen.
