Aanval op ConnectWise raakt ook honderden klantbedrijven

Honderden bedrijven zijn het slachtoffer geworden van een cyberaanval via ConnectWise Cloud Backup. ConnectWise is een back-up- en recovery-dienst voor managed serviceproviders. Zij kunnen daarmee de Microsoft 365- en Google Workspace-data van hun klanten beschermen. De Cloud Backup-dienst is tijdelijk offline gehaald.

ConnectWise ontdekte op 15 oktober ongeautoriseerde toegang tot zijn Cloud Backup-omgeving, zo schrijft het bedrijf in een beveiligingsadvies. Microsoft waarschuwt dat de aanvallers specifiek de OAuth-app van de Cloud Backup-diensten hebben gecompromitteerd. Daarmee kunnen ze access tokens van klanten stelen en toegang krijgen tot hun omgevingen.

Volgens beveiligingsbedrijf Huntress is op die manier bij verschillende bedrijven ingebroken. In totaal deden aanvallers ruim duizend pogingen om in te loggen, zegt het bedrijf. Ruim driehonderd pogingen waren succesvol. De aanvallers voegen vervolgens credentials toe aan de service principal om hun toegang te behouden, stelt Microsoft.

ConnectWise nam na de ontdekking van de aanval direct actie, zegt het bedrijf. Op 17 oktober besloot ConnectWise om Cloud Backup uit voorzorg offline te halen voor alle partners en hun klanten. De SaaS Security- en Cloud Management-diensten van het bedrijf zijn hieraan gekoppeld, wat betekent dat ook deze twee diensten niet beschikbaar zijn.

Partners en beheerders krijgen het advies om hun eigen Microsoft 365-omgevingen en die van hun klanten te controleren. ConnectWise heeft hier een handleiding voor gepubliceerd. Het bedrijf adviseert verder om getroffen applicaties voorlopig uitgeschakeld te laten.

Bron: Sarayut Thaneerat via Getty Images

Reacties (10)

[Johan9711]

Dit soort supply chain attacks worden een steeds groter probleem. Veel backup oplossingen, maar ook andere oplossingen van derde partijen die werken in je 365 tenant maken vaak gebruik van service principals met vergaande rechten. (Soms vergelijkbaar met global admin). Vaak zit hier een secret rotation op of certificaat vernieuwing van maar liefst 180 dagen of zelfs langer.

Dit gaan we in de toekomst nog veel vaker zien.

[Reactie gewijzigd door Johan9711 op 19 oktober 2026 08:03]

[lenwar]

Ik heb die cloud-back-up privileges net even bekeken, en volgens de documentaire heeft die alleen wat afgekaderde leesprivileges nodig.

Ik heb overigens juist het idee dat dit soort zaken wel goed geregeld zijn. Entra kan natuurlijk mega-granulair ingesteld worden qua privileges.

Er zullen ook dienstverleners zijn die het ‘lekker makkelijk’ vinden om maar ‘alles’ te vragen/claimen, maar dat zijn dan net de bedrijven waar je eigenlijk geen zaken mee moet willen doen.

[Bor]

Ik heb die cloud-back-up privileges net even bekeken, en volgens de documentaire heeft die alleen wat afgekaderde leesprivileges nodig.

Als dat zo is kan je niet vanuit de cloud backup omgeving restoren natuurlijk. Daarvoor zijn schrijfrechten nodig. Meestal vereisen corporate backup oplossing verregaande lees- en schrijfrechten helaas.

[Reactie gewijzigd door Bor op 19 oktober 2026 08:22]

[World Citizen]

@lenwar zijn punt blijft dan een beetje gelden. Als een account meer kan dan nodig, en bestaat op momenten waar hij niet nodig is, dan doe je niet aan ZeroTrust en valt het een beetje onder slordige configuratie.

En helaas klopt het wat Lenwar zegt, er zijn veel te veel IT dienstverleners die gewoon maar als Global Admin inloggen. Sterker nog, ze doen niet eens aan een vorm van federeren en laten al hun medewerkers onder 1 global admin account werken bij de klant.

Hoe pijn dat ook doet... ik kan uit mijn eigen ervaringen zeggen dat dit bovengemiddeld tot ernstig vaak voorkomt in Nederland.

Dat er een account word ingesteld op dit soort diensten wat veel te veel rechten heeft vind ik niet eens meer gek maar verwacht ik ondertussen.

[Bor]

Dit laat vooral zien hoe groot de blinde vlek rond service principals nog is. Gebruikersaccounts worden vaak streng bewaakt terwijl applicaties soms jarenlang brede rechten houden zonder periodieke controle.

Juist bij een back-updienst is de afhankelijkheid groot. Die heeft toegang tot veel data en valt tijdens een incident ook nog eens weg als herstelvoorziening. Dat maakt de leverancier zelf onderdeel van zowel het risico als het herstelplan.

Third-party back-up voorkomt dus geen leveranciersrisico. Je verplaatst een deel ervan naar een andere partij.

[Scriptkid]

Terwijl applicaties soms jarenlang brede rechten houden zonder periodieke controle.

Daarom is al jaren de best practise om dat niet te doen.

Sp zouden strenger moeten zijn dan je user accounts dus ook in CA voor elk account alleen precies datwat hij moet zero trust. Daarmee kan een aanvaller weinig want je locked ook de from en to op ip hostname combinatie etc.

En rotatie hoort gewoon minimaal elke 90 dagen te zijn voor high priv.

[seppdroid]

Helemaal eens, een concurrent van connectwise waarmee ik verleden gewerkt hebt had een zelfde soort implementatie. Ook met recovery, write access. Een beetje de global admin rights via een service principal/registration… Uren in meetings gezeten of dat niet anders kon, maar nee een echte limitatie.

En valt bij veel organisaties buiten de scope van elevated accounts…

[Marve79]

Je kunt ook conditional access koppelen aan je service principals, dat maakt ze al een stuk minder gevoelig voor misbruik. Bijv enkel vanaf bepaalde IP range. Of blokkeren bij verdachte handelingen etc.

Maarja he het blijft cloud, de voordeur is altijd beschikbaar itt een goede on-prem omgeving.

[Pinkys Brain]

Ipv. IP range is daar een moderne oplossing voor, passkeys. Passkeys kunnen continue de identiteit blijven authenticeren. Geen token nodig bij de client, de server bind de authorisatie aan de passkeys.

Kan natuurlijk nog steeds de de client computer als MitM gebruikt worden, maar daar doe je niks tegen.

[Reactie gewijzigd door Pinkys Brain op 19 oktober 2026 09:08]

[Draconian]

Niet best dit. Schrik er wel van. Ondanks dat we een lokale back-up hebben als bedrijf doen we dit ook in de cloud. In geval van een brand van het pand als voorbeeld is een cloud back-up ook onmisbaar.

[Reactie gewijzigd door Draconian op 19 oktober 2026 08:25]