ConnectWise Cloud Backup OAuth Olayı: Müdahale Rehberi

ConnectWise'ın 18 Ekim Trust Center güncellemesi, eski adı SkyKick olan Cloud Backup ile ilişkili uygulama kimliklerine yetkisiz erişim yaşandığını bildiriyor. ConnectWise, 17 Ekim saat 07.00 UTC'de listelenen yedi uygulama kimliğini devre dışı bıraktı ve etkilenen bağlantılarda kullanılan sertifikaları iptal etti. Cloud Backup hizmeti askıda kalırken inceleme sürerken SaaS Security ve Cloud Management da geçici olarak çevrimdışı alındı.

Bu gelişen olayın son durumu, The Hacker News'in 17 Ekim tarihli ilk haberinde ve 18 Ekim güncellemesinde anlatılıyor; bunlar iki ayrı ihlal değil, aynı olayın farklı aşamalarıdır. Hizmet durumunu ve istenen müdahaleyi üreticinin güncel advisory'sinden alın. Huntress ve Todyl gibi bağımsız müdahale ekipleri, Cloud Backup uygulamasının tenant'larda önceden onaylanan izinleri üzerinden yetkisiz Microsoft 365 oturumları gözlemlediklerini bildirdi. Bu ekiplerin telemetri kapsamı ve doğruladığı etkinlik aynı değildir; sayıları tek bir kurban toplamı gibi birleştirmeyin.

Kanıt ne söylüyor, ne söylemiyor?

Cloud Backup, çok kiracılı Microsoft 365 kurumsal uygulamasıdır. Kurumlar yedekleme hizmetinin çalışması için bu uygulamaya önceden izin vermiştir. Tehdit araştırmacıları, ele geçirilmiş ortak uygulama kimlik bilgisinin müşteri tenant'larında uygulama düzeyinde erişim almak için kullanıldığını bildirdi. Uygulama erişimi insan kullanıcının oturum açmasına dayanmadığı için kullanıcı MFA'sı ve kullanıcı odaklı Conditional Access kontrolleri bu kimlik bilgisi yolunu tek başına engellemez.

ConnectWise, saklanan yedek arşivlerine erişildiğine dair kanıtı olmadığını; arşivlerin şifreli, yalıtılmış ve korunduğunu söylüyor. Bu açıklama yedek arşivleriyle ilgilidir; canlı Microsoft 365 tenant'larında hiç etkinlik yaşanmadığını göstermez. ConnectWise, her iş ortağı tenant'ında yetkisiz etkinlik olup olmadığını belirleyecek aşağı akış görünürlüğüne sahip olmadığını da açıkça belirtiyor. Başarılı service-principal oturumu kimlik doğrulamayı kanıtlar; dosya veya e-posta okunduğunu ya da dışarı aktarıldığını tek başına kanıtlamaz. Öte yandan eksik loglar da erişim yaşanmadığını kanıtlamaz.

Bulgu	Dikkatli yorum
ConnectWise yedi uygulama kimliğini devre dışı bıraktı	Yeni kimlik doğrulama girişimleri engellenir; tenant içindeki önceki değişiklikler ve verilmiş token'lar ayrıca incelenmelidir.
Cloud Backup hizmeti askıda	18 Ekim advisory'sine göre zamanlanmış yedekleme ve geri yükleme erişimi kullanılamıyor.
Yedek arşivlerine erişim kanıtı yok	ConnectWise'ın saklanan arşivlere ilişkin bulgusudur; bağlı her Microsoft 365 tenant'ı hakkında sonuç değildir.
Araştırmacılar tenant oturumları gözlemledi	İzlenen kapsamda uygulama kimlik doğrulamasına kanıttır; tüm müşterilerde veri dışarı aktarıldığını veya ihlal olduğunu otomatik olarak kanıtlamaz.

Tenant müdahalesi

ConnectWise, iş ortaklarının hem kendi Microsoft 365 tenant'larını hem yönettikleri tüm müşteri tenant'larını; kullanılmayan eski SkyKick bağlantıları dâhil incelemesini istiyor. Güncellenebileceği için resmi Trust Center iş akışını esas alın. Asgari olarak:

Etkilenen kurumsal uygulamaları devre dışı tutun. Advisory'deki yedi uygulama istemci kimliğini kullanın; yalnızca SkyKick adıyla veya görünen uygulama adıyla aramayın. ConnectWise geri yükleme ve yeniden yetkilendirme talimatı vermeden etkinleştirmeyin.
Silmeden veya yapılandırmayı değiştirmeden kanıtı koruyun. Tenant ve yerel enterprise application nesne kimliklerini, durumu, sahipleri, izinleri, kimlik bilgilerini ve UTC toplama zamanını kaydedin. Service-principal oturum, Entra denetim, Microsoft 365 denetim ve SIEM kayıtlarını saklama süresi dolmadan dışa aktarın. Erişim ve saklama lisansa göre değişebilir.
İlk uygulamanın ötesindeki etkinliği inceleyin. Uygulama ve kullanıcı oturumlarını, kimlik bilgilerini, consent izinlerini, dizin rollerini, sahipleri, federation trust'larını, politika değişikliklerini, posta delegasyonunu, yönlendirme ve inbox/transport kurallarını ve olay sırasında değiştirilen kimlikleri kontrol edin.
Yönetilen her tenant'ı ayrı tarayın. Kullanılmayan veya eski bağlantı hâlâ bulunabilir. Üreticinin bağlantıyı kapatması, her müşteri tenant'ındaki uygulamanın yerel olarak kapatıldığını veya temiz olduğunu kanıtlamaz.
Oluşturulmuş erişim yollarını ayrıca giderin. Advisory, ilk uygulamanın kapatılmasının tenant değişikliklerini veya başka bir kimlik üzerinden oluşturulmuş kimlik bilgilerini geri almadığını belirtiyor. Şüpheli değişiklikleri olay müdahale prosedürüne göre sınırlayın; gerekirse Microsoft veya nitelikli müdahale uzmanlarıyla çalışın.
Temiz aramayı etkinlik yokluğunun kanıtı saymayın. Hangi log kaynağının, hangi zaman aralığının, hangi lisans sınırlamalarının ve hangi sorguların kullanıldığını kaydedin. Görünürlük yetersizse tenant'ın etkilenmediğini iddia etmek yerine belirsizliği belgeleyip eskale edin.

Araştırmacıların en çok ele aldığı uygulama ConnectWise Cloud Backup'tır; istemci kimliği 506e08f9-6e9a-4da4-942b-a099a03644ae. Üretici advisory'si yedi kimliğin tamamını ve ayrıntılı kontrolleri veriyor. Bu makaledeki kısa gösterimi eski veya eksiksiz bir IOC listesi yerine kullanmayın.

Uzun vadeli kontrol dersleri

Üçüncü taraf uygulama izni, ilk kurulum kararından sonra da sürebilen bir güven ilişkisi yaratır. Çok kiracılı kurumsal uygulamaları envanterleyin, kullanılmayan izinleri kaldırın, uygulama yetkilerini en aza indirin, sahip atayın ve üreticiyle acil kapatma/kurtarma süreci belirleyin. Kullanıcı MFA'sı önemlidir; uygulama düzeyindeki kimlik bilgilerinin ayrıca korunması, izlenmesi, döndürülmesi ve iptal edilmesi gerekir.

Hizmet sağlayıcılar için kapsam yalnızca kendi dizinlerini değil, müşteri tenant'larını da içerir. Uygulamayı hangi müşterilerin onayladığını belirleyin, kullanılmayan izinleri saptayın ve saklama süresi dolmadan kanıt dışa aktarmak için tekrarlanabilir bir yol tutun. İnceleme sırasında uygulama nesnelerini topluca silmek yapılandırma kanıtını yok edebilir veya üreticinin yönlendirdiği kurtarmayı zorlaştırabilir.

Uygulama kimlik doğrulamasını tenant etkinliğinden ayırın

Uygulama düzeyindeki oturum açma ile veri işlemi farklı soruları yanıtlar. Bir service principal sign-in, uygulama kimliğinin tenant'ta doğrulandığını gösterebilir. Tek başına bu kayıt, kimliğin hangi posta kutularına, dosyalara veya sitelere eriştiğini göstermez. Tenant denetim kayıtları ve iş yüküne özgü loglar sonraki işlemleri gösterebilir; kapsam tenant lisansı, saklama süresi ve yapılandırmasına bağlıdır.

Kanıt	Neyi gösterebilir?	Hangi inceleme sürmeli?
Uygulama veya service-principal oturum kaydı	Hangi uygulama kimliğinin, ne zaman ve kayıtlı hangi bağlamla doğrulandığı	Korunan kaynağın okunup değiştirilip değiştirilmediği
Dizin denetim olayı	Kaydedilmiş izin onayı, kimlik bilgisi, sahip veya rol değişikliği	Değişikliğin olayla mı yoksa yetkili işlemle mi ilişkili olduğu
Microsoft 365 iş yükü denetim olayı	Kaynak mevcutsa iş yükü nesnesinde kaydedilmiş işlem	Veriye erişimin tam kapsamı ve kayıtların eksiksiz olup olmadığı
Eşleşen iş yükü olayı olmayan başarılı oturum	Mevcut kayıtlarda kimlik doğrulamanın başarıyla gerçekleştiği	Eksik veya süresi dolmuş logların hiçbir işlem olmadığını kanıtlayamayacağı

Kayıtları eşleştirirken istemci kimliği ve tenant içindeki enterprise application nesne kimliğini kullanın. Görünen ad değiştirilebilir veya yinelenebilir; çok kiracılı araştırmada güvenilir bir tanımlayıcı değildir. Her bulguyla UTC zaman aralığını ve kullanılan sorguyu saklayın. Böylece MSP'ler tenant'ları karşılaştırırken bir müşterinin telemetrisini başka müşteriler için kanıt saymaz.

Sınırlamadan güvenli kurtarmaya geçin

Etkilenen uygulama kimliğini kapatmak bir erişim yolunu engeller; tenant değişikliklerini otomatik geri almaz, tüm yerel izinleri kaldırmaz veya mevcut oturumların zararsız olduğunu kanıtlamaz. Kanıtı koruduktan sonra her tenant'taki uygulama durumunu doğrulayın, kimlik bilgileri ve izinleri inceleyin, şüpheli izin veya oturumları ilgili tenant prosedürüyle iptal edin ve araştırmada bulunan ayrı kimlik ya da kalıcılık yollarını değerlendirin.

Yedekleme sürekliliği kararlarını ihlal bulgularından ayrı tutun. Entegrasyonu geri açmadan önce hizmet durumunu ve yeniden yetkilendirme adımlarını ConnectWise Trust Center'ın güncel talimatlarından doğrulayın. Hizmet erişilebilir olduğunda kontrollü hesap ve bilinen test geri yükleme süreciyle doğrulama yapın. Üretici hizmeti yeniden açtı diye tenant kimliğini ve kurtarma koşullarını incelemeden uygulamayı etkinleştirmeyin.

ConnectWise Cloud Backup olayı hakkında

ConnectWise uygulama kimliklerini kapatınca her tenant'taki izin de kalkar mı? Bunu varsaymayın. Her tenant'ın yerel enterprise application nesnesini, izinlerini ve oturum kayıtlarını inceleyin; güncel üretici talimatlarını izleyin.

“Yedek arşivlerine erişim kanıtı yok” bağlı Microsoft 365 tenant'larının etkilenmediğini mi gösterir? Hayır. Açıklama saklanan yedek arşivleri hakkındadır. Canlı tenant etkinliğini ayrıca inceleyin ve yalnızca kayıtlarınızın doğruladığı sonucu raporlayın.

Durum anlık görüntüsü

ConnectWise'ın 18 Ekim 2026 advisory'si sırasında hizmetler hâlâ askıdaydı ve yeniden açılma zamanı verilmemişti. Şirket, üçüncü taraf adli inceleme firmasıyla soruşturmanın sürdüğünü belirtti. Bu tarihli bir durum kaydıdır, güncel hizmet kullanılabilirliği iddiası değildir. Hizmeti yeniden açma kararı öncesi Trust Center'ı kontrol edin.

İlgili okumalar: SaaS uygulamaları için OAuth/OIDC güvenlik testi ve AI ajan kimlik saldırı yolları.