Wat er is gebeurd
Half oktober 2026 werd bekend dat aanvallers misbruik hebben gemaakt van ConnectWise Cloud Backup, voorheen SkyKick. Dat is een back-updienst voor Microsoft 365 die veel door IT-dienstverleners wordt gebruikt. Om back-ups te kunnen maken heeft zo'n dienst een app in de Microsoft 365-omgeving van de klant, met brede leesrechten op mail, OneDrive en SharePoint.
Volgens het onderzoek van beveiligingsbedrijf Huntress hebben de aanvallers een inloggegeven van die app buitgemaakt. Daarmee konden zij zich aanmelden als de app zelf, in elke omgeving waar de app toegang had gekregen. Huntress bevestigde ongeautoriseerde aanmeldingen in 162 omgevingen en zag in bijna 1.000 omgevingen aanmeldactiviteit vanaf het adres van de aanvaller. In ten minste één omgeving gaven andere ConnectWise-apps zichzelf beheerdersrollen, zoals Exchange-beheerder.
ConnectWise heeft de dienst tijdelijk uitgeschakeld en het inloggegeven ingetrokken. Volgens ConnectWise zijn er geen aanwijzingen dat opgeslagen back-ups zijn ingezien. Het onderzoek loopt nog, dus cijfers en details kunnen veranderen.
Waarom MFA hier niet hielp
Een app meldt zich niet aan zoals een medewerker. Hij gebruikt een eigen identiteit in Entra ID, een zogeheten service principal, met een certificaat of geheim in plaats van een wachtwoord. Meervoudige authenticatie en de meeste Conditional Access-policies gelden voor gebruikers, niet voor zo'n app. De rechten zijn bovendien al eerder toegekend door een beheerder.
Uw MFA, Conditional Access en beveiligingsbaseline kunnen dus uitstekend op orde zijn, terwijl een gekoppelde app nog steeds bij alle mail en bestanden kan. Wordt de leverancier van die app gehackt, dan krijgt de aanvaller dezelfde toegang. Dat maakt dit een aanval via de toeleveringsketen.
Dit geldt ook voor uw omgeving
U hoeft geen ConnectWise te gebruiken om hier iets van te leren. Vrijwel elke Microsoft 365-omgeving heeft enterprise apps, ook in het MKB. Denk aan:
- Een back-updienst voor Microsoft 365, vaak met leesrechten op alle mailboxen en bestanden.
- Een koppeling met het boekhoud-, CRM- of planningspakket.
- Beheer- en monitoringtools van uw IT-dienstverlener.
- Webdiensten waar medewerkers zich aanmelden met hun Microsoft-account en daarbij toestemming geven voor toegang tot hun gegevens.
- Apps die ooit zijn toegevoegd door een vorige IT-partner en waarvan niemand meer weet waarvoor ze dienen.
Wat u nu kunt controleren
Begin met een overzicht van wat er in uw omgeving staat. In het Microsoft Entra-beheercentrum vindt u onder Enterprise-toepassingen alle apps, met per app de toegekende machtigingen.
- Maak een lijst van alle enterprise apps en bepaal per app of hij nog wordt gebruikt, wie de eigenaar is en welke rechten hij heeft.
- Verwijder apps die niet meer nodig zijn, en beperk rechten die breder zijn dan nodig.
- Identificeer apps op hun applicatie-ID en niet alleen op de weergavenaam. Een naam kan worden nagebootst.
- Bekijk in het aanmeldlogboek de aanmeldingen van service principals. Let op onbekende IP-adressen, ongebruikelijke tijden en een plotselinge toename in activiteit.
- Controleer in het auditlogboek of apps recent nieuwe machtigingen, geheimen, certificaten of beheerdersrollen hebben gekregen.
- Beperk of medewerkers zelf toestemming mogen geven aan apps, en stel een beheerdersgoedkeuring in voor nieuwe verzoeken.
Gebruikt u ConnectWise Cloud Backup?
Volg de actuele aanwijzingen van ConnectWise en Huntress. Het advies is om de betreffende apps uit te schakelen, de aanmeldlogboeken te controleren en de apps pas weer aan te zetten als ConnectWise bevestigt dat dit veilig is. Een app schakelt u uit door bij de enterprise app de optie voor aanmelden uit te zetten. Bedenk vooraf wat dit betekent voor uw back-ups: zolang de app uitstaat, worden er geen nieuwe back-ups gemaakt. Leg vast wat u hebt gedaan en wanneer.
Aandachtspunten voor IT-dienstverleners
Als MSP beheert u vaak tientallen omgevingen, met dezelfde tools en dus dezelfde apps. Dat maakt u efficiënt, maar ook een aantrekkelijk doelwit. Zorg dat u bij een incident als dit binnen korte tijd kunt zien bij welke klanten een app actief is en dat u hem daar kunt uitschakelen.
- Houd per klant een actueel overzicht bij van alle apps, hun machtigingen en de reden waarom ze er staan.
- Controleer ook omgevingen die u hebt overgenomen van een andere partij. Ga er niet van uit dat een app onschuldig is omdat een vorige dienstverlener hem heeft geïnstalleerd.
- Standaardiseer de inrichting van uw klantomgevingen, zodat afwijkingen opvallen.
- Stuur aanmeldingen en wijzigingen van apps door naar uw monitoring en stel meldingen in bij afwijkend gedrag.
- Spreek met uw leveranciers af hoe zij u informeren bij een incident, en hoe u hun app snel kunt intrekken.
- Informeer getroffen klanten tijdig: wat is bekend, wat wordt nog onderzocht en welke maatregelen zijn genomen.
Een koppeling is een vertrouwensrelatie
Koppelingen met andere diensten zijn niet slecht. Ze zijn nodig om efficiënt te werken. Maar elke app met toegang tot uw Microsoft 365-omgeving is een vertrouwensrelatie die u moet vastleggen, periodiek beoordelen en bewaken. De vraag is niet alleen of uw omgeving vandaag veilig is ingericht, maar ook of u het merkt en kunt ingrijpen als iets wat u vertrouwt morgen een risico wordt.
Weet u welke apps toegang hebben tot uw Microsoft 365-omgeving? In de Microsoft 365 security scan nemen wij de app-toestemmingen en hun machtigingen mee.