緊急情シス・SaaS2026.10.18

ConnectWise Cloud Backup の M365 アプリが侵害、173 テナントに不正サインイン

重要ポイント

何が起きたか: ConnectWise Cloud Backup(旧 SkyKick)の Microsoft 365 連携アプリの認証情報が侵害され、顧客の Microsoft 365 テナントへの不正サインインに使われました
影響: Huntress は 173 のテナントで不正サインインを確認。このアプリを導入(同意)している組織は、どこでも対象になり得ます
状況: 悪用が確認されています。Microsoft は「サプライチェーン攻撃」として追跡中、ConnectWise は調査と是正の間アプリへのアクセスを停止
対処: 該当アプリの無効化、Entra の監査ログ・サインインログの確認、2026年10月13日以降に追加された認証情報の棚卸し
公開日: 2026年10月16〜17日(Huntress、各報道)

バージョンと対処(まずここを確認)

製品	影響を受けるバージョン	修正版(これ以上にする)
ConnectWise Cloud Backup(旧 SkyKick)の Microsoft 365 アプリ(アプリ ID 506e08f9-6e9a-4da4-942b-a099a03644ae)	公式情報で未公表(バージョンではなくアプリの認証情報が侵害)	公式情報で未公表(認証情報の再設定は調査・是正中)
ConnectWise Cloud Management 関連の Microsoft 365 アプリ	公式情報で未公表	公式情報で未公表

対処: ConnectWise が認証情報の再設定を完了したと確認できるまで、Entra 管理センターの「エンタープライズアプリケーション」から該当アプリを無効化します。すでに発行されたトークンは最大 90 分ほど有効なままの可能性があるため、無効化のあとも監査ログを確認してください。

確認: Entra 管理センターの「エンタープライズアプリケーション」に ConnectWise / SkyKick のアプリがあるか、Entra の監査ログとサインインログ(サービスプリンシパルのサインイン)で見覚えのない IP からのアクセスがないかを調べます。

概要

2026年10月15日ごろから、ConnectWise Cloud Backup(旧 SkyKick)が Microsoft 365 に登録しているアプリの認証情報を使い、顧客のテナントに不正にサインインする動きが確認されました。セキュリティ企業の Huntress が公表し、Microsoft も「サプライチェーン攻撃」として追跡していると発信しています。このバックアップ製品や ConnectWise 系のアプリを導入している組織は、アプリの無効化とログの確認を急いでください。

影響と対処

影響を受けるもの

ConnectWise Cloud Backup と、ConnectWise Cloud Management 関連のアプリ(Exchange Online・SharePoint Online・Teams・Graph・Partner Center 向け)が報じられています。アプリは、導入時に同意した組織ごとに、メール・OneDrive / SharePoint のファイル・Teams・ディレクトリ情報などへ許可された範囲でアクセスできます。

どんな問題か

個々の製品の欠陥ではなく、信頼されたアプリの認証情報が奪われたことで、同意済みのすべてのテナントに対して正規のアプリとしてアクセスされた点が特徴です。一部のテナントでは、アプリが自分自身に管理者ロールを付けたり、ほかの信頼されたアプリにシークレットを追加したりした形跡も報告されています。Microsoft は、顧客が過去に付与した強い権限(Directory.ReadWrite.All など)が悪用された可能性を指摘しています。

対処方法

該当アプリを無効化し、ConnectWise の発表(認証情報の再設定の完了)を待つ
Microsoft Graph のアクティビティログを有効にする
2026年10月13日以降に追加されたアプリの認証情報・シークレットを監査する
ConnectWise / SkyKick のアプリが自らディレクトリロールを追加していないか、監査ログで確認する
Huntress が公表した IP アドレス(144.172.64.128)からの認証がないかを調べる

確認方法

Entra 管理センターで、サインインログの「サービスプリンシパルのサインイン」と、監査ログの「アプリケーション」「ロール」の操作を、2026年10月13日以降で絞り込んで確認します。ConnectWise は、Cloud Backup のバックアップデータが侵害された証拠は見つかっていないとしていますが、調査は続いています。