Intrång i ConnectWise Cloud Backup öppnar Microsoft 365-miljöer

Erik Berg

20 oktober 2026 5 min läsning

Sammanfattning

Ett intrång i ConnectWise Cloud Backup, tjänsten som tidigare hette SkyKick, gav en angripare åtkomst till kunders Microsoft 365-miljöer den 15 oktober 2026. Angriparen använde en stulen inloggningsuppgift som tillhörde backupapplikationen. Obehöriga inloggningar har bekräftats i 162 kundmiljöer. Senare identifierades inloggningsförsök från angriparens IP-adress i nästan 1000 miljöer, varav fler än 300 hade registrerats med lyckad inloggning. Microsoft beskriver händelsen som en pågående leverantörskedjeattack. ConnectWise stängde av tjänsten den 17 oktober och uppger att det inte finns några tecken på att lagrade säkerhetskopior har påverkats. Ingen nordisk organisation har pekats ut som drabbad.

Säkerhetskopieringen står still medan intrånget utreds

ConnectWise stängde av sju applikationsidentiteter den 17 oktober. I en uppdatering klockan 01.00 UTC dagen därpå uppgav bolaget att inga schemalagda säkerhetskopieringar kördes och att det inte gick att återställa data. Även tjänsterna SaaS Security och Cloud Management har stängts ned som en försiktighetsåtgärd.

Token som utfärdades före avstängningen kan fortsätta fungera tills de löper ut, enligt ConnectWise. Todyl uppger att de kan förbli giltiga upp till 90 minuter.

Appen loggade in utan användare och utan MFA

Cloud Backup säkerhetskopierar e-post samt filer i OneDrive, SharePoint och Teams och säljs främst via MSP:er. ConnectWise förvärvade tjänsten i samband med köpet av SkyKick 2024. För att fungera får appen en egen identitet i kundens Microsoft Entra ID, en så kallad service principal. Den kan läsa och skriva data utan att någon användare behöver vara inloggad. Säkerhetsföretaget Todyl upptäckte att angriparen använde appens egen hemlighet, en så kallad client secret, för att autentisera sig och få åtkomsttoken för Microsoft Graph. Eftersom autentiseringen skedde via applikationen och inte via en användare påverkades inte av multifaktorautentiseringen (MSF). Sedan 1 oktober är MFA ett krav för verksamheter som omfattas av cybersäkerhetslagen, vilket vi beskrev i vår genomgång av svenska incidenter i oktober.

Huntress spårade inloggningarna till IP-adressen 144.172.64[.]128, som tillhör en hostingleverantör. Aktiviteten pågick mellan 06.13 och 08.34 UTC. Angriparen försökte logga in i miljöerna i en systematisk ordning, med bara några sekunders mellanrum. Huntress tolkar mönstret som att ett skript arbetade sig igenom en lista. I miljöer där ConnectWise-appen saknades misslyckades försöken.

Angriparen gav sig själv högsta behörighet

I en kundmiljö lade en annan ConnectWise-app, Cloud Management för Microsoft Teams, till sig själv som Global Administrator klockan 03.44 UTC den 15 oktober. Inom ungefär fem minuter hade appen skapat nya klienthemligheter för två andra appar: ett MSP-verktyg och Huntress egen säkerhetsapp. De nya hemligheterna var giltiga till 2028. Den 19 oktober hade Huntress identifierat ytterligare en miljö med samma mönster. Microsoft har observerat kartläggningav miljöer via Microsoft Graph och försök att lägga in nya autentiseringsuppgifter som kan användas som bakdörr.

Todyl granskade nio miljöer och kunde endast bekräfta inloggningar.

Samma dag genomfördes från samma IP-adress även en riktad våg av attacker mot 16 organisationer som arbetar med policyfrågor, nationell säkerhet, handel och kritiska mineraler. De flesta av organisationerna använde inte ConnectWise. Försöken misslyckades.

Att inaktivera apparna tar inte bort klienthemligheter som redan har lagts till. Huntress rekommenderar därför administratörer att granska samtliga appars hemligheter och certifikat för att upptäcka sådana som har tillkommit sedan den 13 oktober. ConnectWise-apparna bör inaktiveras, men inte raderas.

Det ConnectWise inte har svarat på

Bolaget har inte uppgett hur inloggningsuppgiften stals, hur många kunder som berörs eller när uppgiften byttes ut. ConnectWise uppger dessutom att det saknar insyn i kundernas miljöer. Det gå inte med säkerhet avgöra om data har förts ut. Enligt Huntress loggas nämligen inte läsningar av katalogdata via Microsoft Graph. CERT-SE:s veckobrev den 16 oktober nämnde inte händelsen.

ConnectWise har haft ett känt intrång tidigare. Den 28 maj 2025 rapporterade bolaget misstänkt aktivitet som det kopplade till en statlig aktör och som drabbade ett fåtal ScreenConnect-kunder. Det finns inga kända källor som kopplar samman de två händelserna.

Loggar i gratisversionen av Entra ID raderas efter en vecka

Kunder som drabbats av intrång i ConnectWise Cloud Backup och använder Entra ID Free har inloggningsloggar som sparas i sju dagar, påpekar Todyl. Inloggningarna skedde på morgonen den 15 oktober. I de miljöerna försvinner spåren alltså den 22 oktober. Graph-aktivitetsloggar skiljer angriparens läsningar från backuptjänstens egna. De kräver dock licens P1 eller P2 och gäller inte bakåt i tiden. Ett svenskt företag som konstaterar att personuppgifter har nåtts har 72 timmar på sig att anmäla till IMY enligt GDPR. Utan Graph-loggar är inloggningsloggen det enda spåret av angriparen.