托管服务提供商（MSP）软件厂商 ConnectWise 近日宣布，因检测到未经授权的访问，已暂时关闭其部分 SaaS 服务，包括 Cloud Backup、SaaS Security 和 Cloud Management。
事件起因与服务中断
ConnectWise 于 10 月 16 日发布通告称，在 10 月 15 日发现 Cloud Backup 环境中存在对应用身份标识的未经授权访问。Cloud Backup 是一款专为 MSP 设计的数据备份工具，支持本地、云端以及 Microsoft 365 和 Google Workspace 等 SaaS 服务的数据保护。
由于 SaaS Security 和 Cloud Management 与 Cloud Backup 存在集成关系，出于谨慎考虑，这两项服务也已同步暂停。公司表示，此举旨在配合调查和修复工作。
截至 10 月 18 日 16:00 UTC，上述服务仍处于不可用状态。这意味着依赖这些服务的终端用户无法执行数据备份、访问存档或进行数据恢复操作。
安全状况与官方回应
ConnectWise 强调，服务暂停并不等同于客户环境已被入侵，而是表明公司目前无法确信能安全运营相关服务。
ConnectWise 安全运营副总裁 Jason Ferguson 在 Reddit 上指出：“现有存档保持加密、隔离且完好无损，未发现未经授权访问的证据。”他补充说，团队正在持续监控受影响环境，开展取证分析、威胁狩猎及修复活动。
尽管未披露详细攻击手法，ConnectWise 公布了一些与少数 IP 地址及第三方应用集成相关的妥协指标（IOC）。此外，该公司已禁用 Cloud Backup 与 Exchange、Teams、SharePoint Online 及其自有产品之间的部分集成。
Huntress 揭示更严峻风险
安全机构 Huntress 提供了更为具体的技术细节，警告称情况可能比 ConnectWise 描述的更为严重。
Huntress 指出，属于 ConnectWise Cloud Backup 的一个 Microsoft 365 凭据（API secret）已被泄露，并确认该凭据正被用于未经授权访问客户的 M365 环境。
在一个 Huntress 合作伙伴租户中，第二个 ConnectWise 应用程序——ConnectWise Cloud Management - MS Teams（Application ID: 24205314-2b89-4e07-a2a4-579e898a5640）将自己提升为全局管理员。随后，该应用向租户中的另外两个应用程序添加了新凭据，其中之一是该合作伙伴独有的单租户 Huntress 应用程序。
Huntress 警告 MSP 和客户：“禁用 M365 应用（包括被滥用的 ConnectWise 应用）并不能移除已经添加的凭据。你必须检查所有 M365 应用的凭据。”
供应链安全风险凸显
ConnectWise 表示，由于当前重点在于“调查、修复以及支持受影响的合作伙伴及其客户”，暂时无法讨论威胁行为者的归属问题。公司已呼吁客户排查其所管理的任何 M365 环境是否存在被入侵的迹象。
此次事件暴露了 MSP 供应链安全的复杂性。作为平台提供商，ConnectWise 不直接管理终端用户的具体设置，而是依赖其 MSP 客户采取行动。然而，许多终端用户组织可能对底层使用的 ConnectWise 平台毫不知情，这使得他们在面对此类上游服务商的安全漏洞时处于被动地位。
服务于 MSP 的企业一直是网络攻击的高频目标。攻击者视入侵如 ConnectWise 这类公司为突破其所有合作伙伴及终端用户的潜在途径。2021 年针对 Kaseya 的攻击便是此类供应链攻击中最臭名昭著的案例之一。ConnectWise 此次事件是否会重演类似后果，仍有待进一步观察。
