Wat is er gebeurd
Microsoft heeft een supply-chain-aanval via ConnectWise Cloud Backup toegeschreven aan Storm-0940, een groep die volgens Microsoft is gelieerd aan de Chinese staat. Via de gecompromitteerde back-updienst kregen de aanvallers een opstap naar de cloudomgevingen van klanten. Volgens Microsoft gebruikten zij daarbij een AI-raamwerk voor aanvallen, ARTEX, om automatisch te scannen, wachtwoorden uit te proberen en OAuth-applicaties te misbruiken.
De campagne loopt volgens de berichtgeving sinds september 2026 en richtte zich op honderden organisaties in uiteenlopende sectoren. De meeste pogingen mislukten, maar bij een aantal organisaties wisten de aanvallers blijvende toegang met hoge rechten tot de cloudomgeving te krijgen. China ontkent betrokkenheid.
Wie worden getroffen
Risico lopen organisaties die ConnectWise Cloud Backup gebruiken of hebben gebruikt, of waarvan de ICT-partner die dienst inzet, vooral voor de back-up van Microsoft 365. ConnectWise zegt de getroffen applicatiekoppelingen te hebben afgesloten en de dienst gefaseerd te herstellen.
Volgens de topman van ConnectWise verwijdert dat herstel geen toegang die aanvallers al binnen een individuele klantomgeving hebben opgezet. Elke getroffen organisatie moet haar eigen omgeving dus apart laten controleren.
Wat betekent dit voor uw organisatie
Back-up- en beheerdiensten krijgen vaak brede rechten in uw Microsoft 365-omgeving, bijvoorbeeld om alle mailboxen en bestanden te lezen. Wordt zo een leverancier gehackt, dan kan een aanvaller via die koppeling binnenkomen zonder dat uw eigen wachtwoorden of MFA worden omzeild.
Ook als u geen klant van ConnectWise bent, is dit een goed moment om na te gaan welke externe applicaties toegang hebben tot uw omgeving en met welke rechten. Veel MKB-organisaties weten niet welke koppelingen hun ICT-partner in de loop der jaren heeft toegevoegd.
Wat kunt u nu doen
- Vraag uw ICT-partner vandaag of ConnectWise Cloud Backup of een andere ConnectWise-dienst voor uw organisatie wordt gebruikt en of uw omgeving al is gecontroleerd.
- Bekijk in Microsoft Entra ID onder Bedrijfsapplicaties welke externe apps toegang hebben, met welke rechten, en verwijder koppelingen die niet meer nodig zijn.
- Controleer of er recent nieuwe geheimen of certificaten zijn toegevoegd aan applicaties en service principals, en of er onbekende accounts beheerrechten hebben gekregen.
- Zoek in de aanmeldlogboeken naar veel mislukte aanmeldpogingen op meerdere accounts kort na elkaar, een teken van het uitproberen van wachtwoorden.
- Sta gebruikers niet toe zelf toestemming te geven aan nieuwe apps; laat dat alleen via een beheerder lopen.
- Zorg dat MFA verplicht is voor alle accounts en dat verouderde aanmeldmethoden zonder MFA zijn geblokkeerd.