要対応 2026-10-18（日）配信

ConnectWiseの認証情報流出、M365テナント173件に不正アクセス

ConnectWise Cloud Backup（旧SkyKick）のMicrosoft 365向け認証情報が侵害され、攻撃者がこれを利用して173件の顧客・パートナーテナントに不正にサインインしたことが判明しました。攻撃者は、アプリケーションが持つ広範な権限により、メールボックスやファイルを読み取れる状態にあったとされます。ConnectWiseは対応として、Cloud Backupアプリケーションへのアクセスを当面停止しました。

なぜご自身の組織で確認すべきか自組織のMicrosoft 365環境において、該当アプリケーションの導入有無や不審なサインインログがないかを確認する必要があるため。

攻撃手法（確認済み）

侵害されたConnectWise Cloud Backup（旧SkyKick）のOAuthアプリケーション認証情報（AppID: 506e08f9-6e9a-4da4-942b-a099a03644ae）およびIPアドレス「144.172.64.128」からのサービスプリンシパル認証により、顧客およびパートナーのMicrosoft 365テナントへ不正にサインインした。アプリケーションが持つ既存の同意権限（メール、OneDrive、SharePoint、Teams、ディレクトリデータへのアクセス）を悪用し、テナント間で移動が行われた。また、一部のテナントではConnectWiseの別のTeams向けアプリがGlobal Administratorロールを付与し、他の管理アプリに新しいクレデンシャルを追加してバックドアを構築する動きが確認された。

自組織チェックポイント

Microsoft Entra Admin Centerのサインインログ（サービスプリンシパル）で、AppID「506e08f9-6e9a-4da4-942b-a099a03644ae」や不審なIPアドレス（144.172.64.128）からのアクセス記録がないか

ConnectWise Cloud Backupまたは関連するCloud Managementアプリケーションがテナントにインストール・同意されていないか

Entraの監査ログで、ConnectWiseやSkyKick関連のアプリケーションがGlobal Administratorなどのディレクトリロールに自身を追加していないか、または信頼されたアプリに新しいクレデンシャルが追加されていないか

出典：https://thehackernews.com/2026/10/hackers-use-compromised-connectwise.html

明日のセキュリティ脅威情報も、あなたのメールに。

毎朝、攻撃手口の理解と自組織の脅威判断に役立つ情報をお届けします。購読は無料、配信停止はいつでも可能です。

無料で購読する →