ConnectWise και Microsoft 365: ο κίνδυνος από δικαιώματα τρίτων εφαρμογών στο Entra ID
Ημερομηνία είδησης: 2026-10-21 · Τελευταίος έλεγχος πηγών: 2026-10-23
Τον Οκτώβριο 2026 η Microsoft περιέγραψε κακόβουλη δραστηριότητα που αξιοποίησε ταυτότητες εφαρμογών ConnectWise για πρόσβαση σε εταιρικά περιβάλλοντα Microsoft 365. Το ιδιαίτερα κρίσιμο στοιχείο δεν ήταν η κλοπή ενός τυπικού κωδικού χρήστη, αλλά η κατάχρηση εξουσιοδοτήσεων που είχαν ήδη χορηγηθεί σε εφαρμογές τρίτου προμηθευτή.
Τι επιβεβαιώθηκε από τη Microsoft;
Η Microsoft αποδίδει την εκστρατεία στον Storm-0940 και αναφέρει χρήση αυτοματισμών για γρήγορη πρόσβαση σε πολλαπλά tenants. Σε ορισμένα περιβάλλοντα παρατηρήθηκαν ενέργειες Microsoft Graph, μεταβολές διαπιστευτηρίων εφαρμογών και προσπάθειες επέκτασης προνομίων. Η ύπαρξη της επηρεαζόμενης εφαρμογής ή ακόμη και ένα sign-in δεν σημαίνει από μόνα τους διαρροή δεδομένων· απαιτείται έλεγχος συσχέτισης συμβάντων.
- Εξετάστε τα service principal sign-ins και όχι μόνο τα user sign-ins
- Αναζητήστε μη αναμενόμενες μεταβολές app credentials και ρόλων
Γιατί έχει σημασία το OAuth consent;
Μία υπηρεσία backup ή SaaS management μπορεί να έχει επιπλέον δικαιώματα για Microsoft Graph, Exchange Online, SharePoint και Teams. Αν παραβιαστούν τα credentials της εφαρμογής, ο επιτιθέμενος μπορεί να αξιοποιήσει ακριβώς αυτά τα ήδη εγκεκριμένα permissions. Το MFA των τελικών χρηστών είναι σημαντικό αλλά δεν προστατεύει από κάθε app-only ροή πρόσβασης.
- Απογράψτε όλες τις enterprise applications και τα επίπεδα συγκατάθεσης
- Εφαρμόστε least privilege και περιοδική επανεξέταση εξωτερικών integrations
Προτεραιότητες για διαχειριστές Microsoft 365
Οι οργανισμοί που έχουν ή είχαν χρήση επηρεαζόμενων ConnectWise εφαρμογών πρέπει να ακολουθήσουν το τρέχον advisory του προμηθευτή και της Microsoft. Διατηρήστε audit evidence πριν από μη αναστρέψιμες κινήσεις. Ελέγξτε service-principal logins, νέους client secrets/certificates, role assignments, app consent και μη συνήθη Graph API calls, με τα διαθέσιμα logs και πολιτικές διατήρησης. Η διαγραφή μιας εφαρμογής δεν αποτελεί πάντα το πρώτο ορθό βήμα.
- Έλεγχος grants και application permissions
- Διερεύνηση παλαιών ή αχρησιμοποίητων εφαρμογών
- Συσχέτιση IP, timestamp, Graph activity και privileged actions
Τι πρέπει να αλλάξει μακροπρόθεσμα;
Η ασφάλεια Microsoft 365 χρειάζεται και πρόγραμμα διαχείρισης ταυτοτήτων μη ανθρώπινων λογαριασμών: owners, lifecycle, permission reviews, περιορισμό admin consent, logging και σχέδιο ανάκλησης πρόσβασης. Κάθε τρίτη εφαρμογή πρέπει να αντιμετωπίζεται ως πιθανό τμήμα της αλυσίδας εφοδιασμού της εταιρείας.
Η VALUE360 βοηθά στην ανασκόπηση Entra enterprise applications, Conditional Access και Microsoft 365 audit readiness.
Δείτε τη σχετική υπηρεσία της VALUE360 →
Τεχνικές πηγές
- Microsoft Security — Έρευνα για το περιστατικό ConnectWise
- The Hacker News — Ρεπορτάζ για το ConnectWise
Έλεγχος στο περιβάλλον Microsoft 365
Πριν εφαρμόσετε μια αλλαγή, αποτυπώστε τις σχετικές πολιτικές Entra ID, τα δικαιώματα χρηστών και εφαρμογών, τα audit logs και τις εξαιρέσεις. Δοκιμάστε σε μικρή ομάδα, αξιολογήστε πιθανές επιπτώσεις στην πρόσβαση και ορίστε σχέδιο επαναφοράς.
Συχνές ερωτήσεις για την εφαρμογή
Αφορά απαραίτητα τη δική μας υποδομή;
Όχι. Πρώτα πρέπει να επιβεβαιωθεί αν το συγκεκριμένο προϊόν, η έκδοση και η σχετική ρύθμιση υπάρχουν στο περιβάλλον σας.
Αρκεί ένα εργαλείο προστασίας;
Όχι από μόνο του. Χρειάζεται συνδυασμός ενημερώσεων, περιορισμού πρόσβασης, καταγραφής συμβάντων και ελεγμένων αντιγράφων ασφαλείας.