Một thông tin xác thực bị xâm phạm trong dịch vụ ConnectWise Cloud Backup đã cho phép kẻ tấn công đăng nhập vào hàng trăm tenant Microsoft 365 bằng danh tính ứng dụng. Sự cố là lời nhắc quan trọng: trong môi trường SaaS, tài khoản người dùng không phải là danh tính duy nhất cần được bảo vệ, và xác thực đa yếu tố không thể ngăn một ứng dụng đã được cấp quyền rộng sử dụng token hợp lệ.
Chuyện gì đã xảy ra?
ConnectWise cho biết họ phát hiện truy cập trái phép vào các danh tính ứng dụng liên quan Cloud Backup, trước đây mang tên SkyKick Cloud Backup. Microsoft Threat Intelligence mô tả đây là một cuộc tấn công chuỗi cung ứng đang hoạt động, trong đó ứng dụng OAuth đáng tin cậy của nhà cung cấp bị xâm phạm và được dùng để lấy access token trong các tenant khách hàng.
Theo dữ liệu Huntress được BleepingComputer tổng hợp, hoạt động đăng nhập trái phép đã xuất hiện tại 173 tenant. Con số này phản ánh các tenant ghi nhận xác thực bất thường, không đồng nghĩa dữ liệu của toàn bộ 173 tổ chức đều đã bị lấy cắp. ConnectWise cũng nói chưa thấy chỉ dấu kho bản sao lưu hiện hữu bị xâm phạm.
Mốc thời gian đáng chú ý
- 13–14/10/2026: Huntress liên kết các lần đăng nhập dạng script với ứng dụng Cloud Backup và địa chỉ IP của kẻ tấn công.
- 15/10: Microsoft quan sát hoạt động xác thực service principal thành công trên diện rộng từ IP 144.172.64[.]128.
- 17/10: ConnectWise ngắt quyền truy cập Cloud Backup, vô hiệu hóa bảy danh tính ứng dụng và tạm dừng dịch vụ để điều tra.
- 18/10: dịch vụ vẫn chưa hoạt động; sao lưu theo lịch, truy cập kho lưu trữ và khôi phục tạm thời không khả dụng.
Service principal là gì?
Trong Microsoft Entra ID, service principal là danh tính đại diện cho một ứng dụng bên trong tenant. Một dịch vụ sao lưu cần đọc email, tệp OneDrive, SharePoint hoặc dữ liệu Teams, vì vậy khách hàng thường cấp cho ứng dụng các quyền Microsoft Graph tương ứng. Ứng dụng sau đó xác thực bằng secret hoặc chứng thư thay vì tên người dùng và mật khẩu.
Mô hình này giúp tự động hóa hoạt động giữa máy với máy, nhưng cũng tạo ra bán kính ảnh hưởng lớn nếu thông tin xác thực của nhà cung cấp bị lộ. Kẻ tấn công không cần chiếm từng tài khoản; họ có thể sử dụng quyền mà khách hàng đã cấp sẵn cho ứng dụng.
Vì sao MFA không chặn được cuộc tấn công?
MFA chủ yếu bảo vệ luồng đăng nhập của người dùng. Trong vụ việc này, các yêu cầu xác thực đến từ danh tính ứng dụng bằng thông tin hợp lệ, không có người dùng nhập mật khẩu hay nhận yêu cầu xác nhận. Vì vậy, quy tắc chỉ tập trung vào tài khoản nhân viên có thể bỏ lọt hoàn toàn hoạt động service principal.
Đây cũng là lý do nhật ký đăng nhập không tương tác và nhật ký service principal cần được giám sát như nhật ký người dùng. Một lần xác thực thành công từ địa chỉ lạ, user-agent dạng script hoặc ngoài mẫu hoạt động thông thường phải được xem là tín hiệu điều tra.
Quyền rộng biến sự cố nhà cung cấp thành tấn công chuỗi cung ứng
BleepingComputer dẫn nghiên cứu của Todyl cho biết ứng dụng có khả năng đọc và ghi email, tệp đính kèm, OneDrive, SharePoint và hội thoại Teams, tùy quyền từng tenant đã cấp. Microsoft lưu ý các quyền có thể bao gồm Directory.ReadWrite.All. Huntress còn quan sát một số service principal tự gán vai trò thư mục, phần lớn là Exchange Administrator.
Ở một tenant, hoạt động tạo khả năng bám trụ chỉ mất khoảng năm phút: một ứng dụng liên quan Teams tự nhận quyền Global Administrator rồi thêm thông tin xác thực vào các ứng dụng khác. Điều này cho thấy vô hiệu hóa ứng dụng ban đầu là cần thiết nhưng chưa đủ nếu kẻ tấn công đã tạo secret, chứng thư hoặc đường truy cập thay thế.
Tác động vận hành và giới hạn của bằng chứng
ConnectWise tạm dừng Cloud Backup, SaaS Security và Cloud Management như một biện pháp phòng ngừa. Hệ quả trực tiếp là các bản sao lưu theo lịch không chạy và khách hàng không thể khôi phục từ kho bị ảnh hưởng trong thời gian dịch vụ ngừng hoạt động. Nhà cung cấp cho biết các kho sao lưu hiện hữu vẫn được mã hóa và cô lập.
Cần tách biệt ba khái niệm: đăng nhập thành công, khả năng truy cập theo quyền được cấp và bằng chứng dữ liệu thực sự bị đọc hoặc xuất ra ngoài. Nhật ký Microsoft Graph không phải lúc nào cũng đủ chi tiết để chứng minh từng đối tượng đã được truy cập. Do đó, tổ chức nên điều tra theo giả định thận trọng nhưng tránh khẳng định mất dữ liệu khi chưa có bằng chứng.
Danh sách kiểm tra ưu tiên cho quản trị viên
- Tìm service principal ConnectWise Cloud Backup với App ID
506e08f9-6e9a-4da4-942b-a099a03644aevà các ứng dụng Cloud Management/SkyKick cũ. - Rà soát đăng nhập service principal từ ngày 13/10, đặc biệt IP
144.172.64[.]128và user-agent dạng Python hoặc curl. - Kiểm tra thay đổi role assignment, OAuth grant, secret và certificate trên mọi ứng dụng liên quan.
- Tìm hoạt động Microsoft Graph bất thường, truy cập Exchange, SharePoint, OneDrive và Teams vượt mẫu vận hành.
- Vô hiệu hóa kết nối bị ảnh hưởng theo hướng dẫn chính thức, thu hồi token và xóa mọi thông tin xác thực trái phép.
- Xác minh lại khả năng sao lưu, khôi phục và mục tiêu RPO/RTO khi dịch vụ được mở trở lại.
Vì sao thu hồi phiên người dùng là chưa đủ?
Token ứng dụng tách biệt với phiên người dùng. Việc đăng xuất nhân viên hoặc thu hồi phiên người dùng không kết thúc quyền truy cập dựa trên ứng dụng. Todyl cảnh báo token đã phát hành có thể còn hiệu lực tới khi hết hạn hoặc bị vô hiệu hóa theo cơ chế phù hợp; các thông tin xác thực được cấy vào danh tính khác cũng cần được tìm và xóa riêng.
Bài học dài hạn về quản trị danh tính máy
Tổ chức nên duy trì kho kiểm kê ứng dụng doanh nghiệp, chủ sở hữu, quyền được cấp, ngày sử dụng gần nhất và mục đích nghiệp vụ. Quyền ứng dụng cần tuân thủ nguyên tắc tối thiểu, có thời hạn rà soát và được thu hồi khi dịch vụ không còn sử dụng. Những tenant vẫn giữ quyền cho ứng dụng cũ tạo ra rủi ro tồn dư khó nhìn thấy.
Đội bảo mật cũng cần cảnh báo riêng cho xác thực không tương tác, áp dụng chính sách Conditional Access for workload identities khi phù hợp và ưu tiên chứng thư hoặc danh tính liên kết thay cho secret dùng chung dài hạn. Nhà cung cấp SaaS phải thiết kế khả năng xoay vòng credential, cô lập từng khách hàng và thu hồi khẩn cấp mà không phụ thuộc vào thao tác thủ công của hàng trăm tenant.
Kết luận
Vụ ConnectWise Cloud Backup cho thấy ranh giới tin cậy của Microsoft 365 mở rộng tới mọi ứng dụng được tenant ủy quyền. Khi một danh tính ứng dụng trung tâm bị xâm phạm, quyền hợp pháp có thể trở thành đường tấn công xuyên nhiều khách hàng, trong khi MFA người dùng vẫn hoạt động đúng thiết kế. Phòng thủ hiệu quả đòi hỏi quản trị cả danh tính con người lẫn danh tính máy, cùng khả năng phát hiện nhanh thay đổi quyền và thông tin xác thực ứng dụng.
VNCyberS tổng hợp từ ConnectWise, Microsoft Threat Intelligence, Huntress, Todyl và BleepingComputer
Tiếng Việt
English