ConnectWise השביתה את שירות Cloud Backup, לשעבר SkyKick, לאחר שזיהתה גישה לא מורשית לזהויות יישום ששימשו לחיבור לסביבות Microsoft 365. החברה ביטלה תעודות גישה, השביתה שבע זהויות יישום ופתחה בחקירה בסיוע חברת תגובה לאירועים חיצונית.
תמונת המחשה: נוצרה באמצעות AI עבור ITPortal
מה ConnectWise אישרה
בעדכון שפורסם ב-18 באוקטובר 2026 מסרה ConnectWise כי האירוע נוגע לזהויות יישום הקשורות ל-Cloud Backup. ב-17 באוקטובר בשעה 07:00 UTC השביתה החברה שבע זהויות יישום, וביטלה את התעודות ששימשו את החיבורים המושפעים.
Cloud Backup עדיין מושבת: גיבויים מתוזמנים אינם רצים, ואין כרגע גישה לארכיונים או יכולת שחזור. גם SaaS Security ו-Cloud Management הושבתו זמנית כאמצעי זהירות.
מה לא הוכח
לפי ConnectWise, ארכיוני הגיבוי הקיימים נשארו מוצפנים, מבודדים ושמורים, ואין בידיה ראיה שניגשו אליהם. עם זאת, החברה מדגישה שאין לה יכולת לקבוע רק מחקירתה אם סביבת Microsoft 365 מסוימת של לקוח נפגעה.
עצם השבתת השירות אינה מוכיחה שכל לקוח או שותף נפגע. גם הופעת כתובת IP או User-Agent שפורסמו כאינדיקטורים מחייבת בדיקה נוספת ואינה הוכחה מספקת לבדה.
למה ביטול הזהות אינו סוף האירוע
ConnectWise מזהירה שאסימוני גישה שכבר הונפקו עשויים להישאר תקפים עד שיפוגו או יבוטלו. בנוסף, הרשאות, סודות או זהויות אחרות שנוצרו במהלך גישה לא מורשית דורשים איתור וטיפול נפרד.
זהו עיקרון חשוב באירועי ענן: ביטול אפליקציה או החלפת סוד עוצרים גישה חדשה דרך אותו נתיב, אך אינם בהכרח מבטלים מיד כל שינוי שכבר בוצע בטננט.
מה מנהלי Microsoft 365 צריכים לבדוק
- Service principal sign-ins: ב-Entra Admin Center עברו אל Monitoring, אחר כך Sign-in logs ובחרו בלשונית Service principal sign-ins.
- Application ID: ConnectWise פרסמה את המזהה
506e08f9-6e9a-4da4-942b-a099a03644aeעבור Cloud Backup. - כתובת חשודה: בדקו פעילות שמקורה ב-
144.172.64.128, אך אל תסיקו פגיעה רק על בסיס הופעתה. - שינויים בהרשאות: חפשו סודות חדשים, הרשאות אפליקציה, הסכמות מנהל וזהויות שירות שלא היו אמורות להיווצר.
- Exchange ו-Outlook: בדקו כללי העברה, הרשאות לתיבות ופעילות חריגה.
אם נמצאו סימנים חריגים, פעלו לפי תהליך תגובה מסודר. מדריך משלים: חשבון Microsoft 365 נפרץ? כך מנתקים סשנים.
המשמעות לספקי IT ו-MSP
האירוע ממחיש את הסיכון בזהויות יישום רב-דייריות ובחיבורים בעלי הרשאות רחבות. ספקי שירות צריכים לתעד אילו אפליקציות צד שלישי מחוברות לכל טננט, אילו הרשאות ניתנו להן ואיך מבטלים אותן במהירות כאשר ספק מפרסם אירוע.
נכון למועד הפרסום, החקירה והשיקום עדיין נמשכים ואין ל-ConnectWise מועד חזרה מלא לשירות. יש להתעדכן במרכז האמון של החברה לפני ביצוע פעולות חיבור מחדש.
מקורות: ConnectWise Trust Center; Microsoft Learn — Service principal sign-ins; The Hacker News, 18.10.2026.
