دق باحثون في الأمن السيبراني ناقوس الخطر بشأن حملة اختراق نشطة استغل فيها مهاجمون بيانات اعتماد مخترقة تخص خدمة ConnectWise Cloud Backup، المعروفة سابقًا باسم SkyKick، للوصول غير المصرح به إلى عشرات بيئات Microsoft 365 التابعة للعملاء، في واحدة من أخطر الحوادث التي تستهدف تطبيقات OAuth الموثوقة خلال عام 2026.
وتكشف التحقيقات أن المشكلة لا ترتبط باختراق حسابات المستخدمين أنفسهم، بل باستغلال هوية تطبيق يمتلك بالفعل صلاحيات واسعة داخل المؤسسات. وبما أن التطبيق مُنح مسبقًا أذونات شاملة للوصول إلى البريد الإلكتروني وملفات OneDrive ومستودعات SharePoint وبيانات Teams وخدمات الدليل المركزي، فقد تمكن المهاجمون من وراثة هذه الصلاحيات بمجرد حصولهم على بيانات الاعتماد الخاصة بالتطبيق.
بيانات اعتماد مسروقة تفتح أبواب 173 مؤسسة
أفادت شركة Huntress بأنها رصدت بالفعل عمليات تسجيل دخول غير مصرح بها داخل 173 مؤسسة وشريكًا يستخدمون التطبيق المتأثر.
ووفقًا للباحث Jonathan Semon، استُخدمت بيانات الاعتماد المخترقة للحصول على رموز وصول Microsoft Graph داخل بيئات العملاء انطلاقًا من عنوان الإنترنت 144.172.64.128 في 15 أكتوبر 2026.
وأظهرت التحليلات أن المهاجمين تحركوا بين البيئات المستهدفة بطريقة آلية ومنهجية، حيث جرى الوصول إلى المستأجرين (Tenants) تباعًا وفق ترتيب معرفاتهم، وبفاصل ثوانٍ معدودة فقط بين كل عملية وأخرى، ما يشير إلى استخدام سكربت آلي وقائمة أهداف معدة مسبقًا.
وتكمن خطورة الحادث في أن المهاجم لم يكن بحاجة إلى سرقة كلمات مرور المستخدمين أو تجاوز المصادقة متعددة العوامل، إذ اكتفى باستخدام بيانات اعتماد التطبيق الشرعي للحصول على الرموز الأمنية والصلاحيات الموجودة أصلًا داخل البيئة المستهدفة.
لماذا يشكل ConnectWise Cloud Backup خطرًا كبيرًا عند اختراقه؟
تعتمد خدمات النسخ الاحتياطي السحابي على أذونات مرتفعة حتى تتمكن من أداء مهامها. ولذلك يحصل تطبيق ConnectWise Cloud Backup على إمكانية الوصول إلى:
- صناديق البريد الإلكتروني بالكامل.
- مرفقات الرسائل.
- ملفات OneDrive.
- مواقع SharePoint.
- بيانات Microsoft Teams.
- معلومات المستخدمين والدليل النشط.
- عمليات الاستعادة والاسترجاع للبيانات.
وبالتالي فإن أي جهة تستولي على بيانات اعتماد التطبيق تكتسب فعليًا مستوى الوصول نفسه الذي تتمتع به منصة النسخ الاحتياطي.
وأوضحت شركة Todyl أن المهاجمين تمكنوا من المصادقة إلى خدمة Microsoft Graph باستخدام التطبيق المخترق، وهو ما منحهم قدرات واسعة لقراءة البيانات والوصول إلى محتوى المؤسسات المتضررة.
والأخطر من ذلك أن بعض الصلاحيات الممنوحة عبر Microsoft Graph لا تترك سجلات تدقيق كاملة، ما يصعب على الفرق الأمنية إثبات ما إذا كانت البيانات قد تمت قراءتها أو نسخها بالفعل.
محاولة توسيع النفوذ داخل البيئات المستهدفة
لم يكتف المهاجمون باستغلال تطبيق النسخ الاحتياطي، بل كشفت التحقيقات عن نشاط أكثر تطورًا داخل إحدى البيئات المتضررة.
فقد رصدت Huntress تطبيقًا آخر تابعًا لمنظومة ConnectWise يقوم بإضافة نفسه إلى دور Global Administrator، وهو أحد أعلى مستويات الامتياز داخل بيئات Microsoft 365.
وبعد الحصول على هذه الصلاحيات، استخدم المهاجم برنامجًا مكتوبًا بلغة Python لإضافة بيانات اعتماد جديدة إلى تطبيقات أخرى موثوقة داخل المؤسسة، من بينها أدوات إدارة خاصة بمزودي الخدمات المدارة (MSP) وحتى منصات أمنية موثوقة.
ويمثل هذا السلوك مرحلة ما بعد الاختراق (Post-Exploitation)، حيث يسعى المهاجم إلى إنشاء أبواب خلفية إضافية تضمن استمرار الوصول حتى لو جرى اكتشاف الاختراق الأصلي وإغلاقه.
كما أن إضافة بيانات اعتماد جديدة إلى تطبيقات موثوقة قد تسمح بالانتقال إلى بيئات عملاء آخرين مرتبطين بنفس مزود الخدمة، وهو ما يوسع نطاق التأثير بشكل كبير.
ما الذي رصدته Microsoft؟
أكدت Microsoft أنها تتابع ما وصفته بهجوم نشط على سلسلة الثقة الخاصة بتطبيق OAuth تابع لخدمة ConnectWise Cloud Backup.
وأشارت الشركة إلى أن المهاجمين استغلوا الأذونات التي سبق للعملاء منحها للتطبيق، بما في ذلك أذونات مرتفعة الحساسية مثل Directory.ReadWrite.All، وهي صلاحية تمكن صاحبها من قراءة وتعديل أجزاء واسعة من معلومات الدليل المؤسسي.
كما رصدت Microsoft عمليات مصادقة واسعة النطاق انطلقت من عنوان الإنترنت 144.172.64.128 يوم 15 أكتوبر 2026، أعقبها تنفيذ عمليات استطلاع عبر Microsoft Graph ومحاولات لإضافة بيانات اعتماد جديدة داخل التطبيقات المستهدفة بهدف الاحتفاظ بوصول دائم.
ConnectWise توقف الخدمة مؤقتًا
استجابة للحادث، أعلنت شركة ConnectWise إيقاف الوصول إلى خدمة Cloud Backup مؤقتًا لحين الانتهاء من التحقيقات وعمليات المعالجة.
وأكدت الشركة أنها لم تجد حتى الآن أدلة على تعرض بيانات النسخ الاحتياطي الخاصة بالشركاء للاختراق، لكنها أقرت بوجود وصول غير مصرح به إلى الهويات التطبيقية المستخدمة داخل بيئة الخدمة.
كما كشفت عن مجموعة من معرّفات التطبيقات التي استُخدمت ضمن النشاط الخبيث، أبرزها:
- ConnectWise Cloud Backup
- ConnectWise Cloud Management
- ConnectWise Cloud Management for Microsoft Teams
- ConnectWise Cloud Management for Exchange Online
- ConnectWise Cloud Management for Microsoft Graph
- ConnectWise Cloud Management for Partner Center
- ConnectWise Cloud Management for SharePoint Online
إجراءات عاجلة لتقليل المخاطر
يوصي الباحثون المؤسسات التي تستخدم تطبيقات ConnectWise السحابية باتخاذ إجراءات فورية، تشمل:
- تعطيل تطبيق ConnectWise Cloud Backup مؤقتًا حتى اكتمال تدوير بيانات الاعتماد.
- مراجعة سجلات Service Principal داخل Microsoft Entra.
- فحص أي عمليات مصادقة صادرة من العنوان 144.172.64.128.
- مراجعة جميع بيانات الاعتماد الجديدة التي أُضيفت إلى التطبيقات منذ 13 أكتوبر 2026.
- تدقيق سجلات الأدوار الإدارية بحثًا عن أي محاولات لإضافة تطبيقات إلى دور Global Administrator.
- تفعيل سجلات Microsoft Graph إن لم تكن مفعلة مسبقًا.
- مراجعة جميع تطبيقات OAuth الموثوقة وصلاحياتها داخل بيئة المؤسسة.
وتُعد هذه الحادثة مثالًا جديدًا على التحول المتزايد لهجمات الأمن السيبراني نحو استهداف التطبيقات والخدمات الموثوقة بدلًا من المستخدمين مباشرة. فمع توسع الاعتماد على تطبيقات SaaS والتكاملات السحابية، أصبحت بيانات اعتماد التطبيقات هدفًا بالغ القيمة للمهاجمين، إذ تمنحهم الوصول إلى عشرات أو مئات المؤسسات دفعة واحدة دون الحاجة إلى اختراق كل مؤسسة بشكل منفصل.
