ConnectWiseの盗難認証情報が招いたサプライチェーン攻撃、170超のMicrosoft 365テナントに不正アクセス

概要

MSP(マネージドサービスプロバイダ)向けツールを提供するConnectWiseのバックアップサービス「Cloud Backup」(旧SkyKick)で、アプリケーションの認証情報(サービスプリンシパルのシークレット)が盗まれ、攻撃者がこれを悪用して多数の顧客企業のMicrosoft 365テナントに不正アクセスする大規模なサプライチェーン攻撃が発覚した。セキュリティ企業Huntressによると、少なくとも162〜173件のテナントで不審なサインインが確認されており、The Hacker Newsが報じたサービスプリンシパルの認証ログでは、攻撃者は144.172.64.128というIPアドレスから、10月15日6時13分〜8時34分(UTC)の間にMicrosoft Graphのトークンを取得していたことが判明している。被害を受けてConnectWiseはCloud Backupサービスを世界的に停止し、原因調査と復旧対応にあたっている。

攻撃の手口と規模

ConnectWiseのCloud Backupアプリは顧客のMicrosoft 365環境に対してOAuthで認可(コンセント)されており、攻撃者はこのアプリの認証情報を手に入れたことで、人間のログインを介さずバックアップアプリケーションそのものとしてMicrosoft 365に直接認証できた。これはスクリプトによる自動ログインであるため多要素認証(MFA)の対象外となり、検知が難しい侵入経路となった。Huntressの研究者Jonathan Semon氏は「この認証情報は敵の手に落ちている。アプリがコンセントされているテナントすべてに対して有効であり、攻撃者はこれまでに確認されたテナントだけに限定されない」と指摘している。

攻撃活動には段階があったとみられ、10月13〜14日には複数の法律事務所のテナントを狙ったパスワードスプレー攻撃が観測された。続く10月15日には、GUIDのアルファベット順にテナントを数秒間隔で巡回するという組織的な手法で、サービスプリンシパルへの広範な不正認証とトークン窃取が行われた。Bleeping Computerによれば、少なくとも162テナントで不正アクセスが確定しており、Huntressが監視する約50テナントではサービスプリンシパルが自身にExchange管理者などのディレクトリロールを付与する権限昇格行為が確認された一方、itnews.com.auは攻撃者のIPアドレスからの接続が検出されたテナントが約1,000件に上るとも報じている。さらに、政策・国家安全保障・貿易・重要鉱物分野に関連する16テナントを狙った別波の攻撃も確認されたという。

被害の実態と事後活動

このバックアップアプリには強い権限が付与されていたため、攻撃者はメールや添付ファイル、OneDriveやSharePointのファイル、Teamsのチャット履歴などに読み書きアクセスできる状態にあった。一つのテナントでは侵入からわずか5分程度で永続化のための操作が行われており、ConnectWiseのCloud Management for Microsoft Teamsアプリ(アプリケーションID: 24205314-2b89-4e07-a2a4-579e898a5640)自身をグローバル管理者ロールに追加し、Pythonスクリプト(User-Agent: Python-urllib/3.12)を実行して他のアプリケーションに新たな認証情報を追加する手口も確認された。中には2028年まで有効な新しいパスワードを複数のアプリに追加し、長期にわたる再侵入を可能にする設定も見られたという。一方でセキュリティ企業Todylが調査した9テナントでは、サインイン活動のみが確認され、アカウント作成や永続化の痕跡は見つかっていないとしており、被害の深刻度はテナントによって幅があったとみられる。

ConnectWiseの対応と今後の影響

ConnectWiseは10月17日05:01(UTC)にCloud Backupサービスのアクセスを停止したと発表し、侵害されたアプリケーション識別情報(アプリケーションID)を無効化するとともに、予防的にSaaS SecurityやCloud Managementといった関連サービスも停止した。同社は「Cloud Backupのパートナーのバックアップデータが侵害された兆候は現時点でない」としているものの、どの顧客テナントが実際に侵害されたかを個別に特定できていないと説明しており、調査は継続中だ。

専門家は、被害を受けた、あるいは受けた可能性のある組織に対し、Microsoft Entra管理センターで見慣れないIPアドレスからのサービスプリンシパルのサインインを確認すること、10月13日以降に追加された新しい認証情報を点検すること、ConnectWiseのアプリケーションがディレクトリロールに追加されていないか確認すること、Microsoft Graphのアクティビティログを有効化すること、そして認証情報のリセットが確認できるまで該当アプリケーションを無効化することを推奨している。MSPが提供するクラウド連携アプリは多数の顧客テナントに同一の認証情報で広範な権限を持つため、今回のように一つの認証情報の漏洩が連鎖的に大規模な被害へつながりやすい構造的リスクが改めて浮き彫りになった。