Kredensial milik layanan backup ConnectWise Cloud Backup — produk yang dulu dijual dengan nama SkyKick — jatuh ke tangan penyerang, dan dampaknya menjalar ke tenant Microsoft 365 milik pelanggan. Huntress, perusahaan keamanan yang pertama mempublikasikan temuan ini, mengonfirmasi login tidak sah di 162 tenant sampai 16 Oktober 2026 pukul 19.00 UTC.
Angka itu belum final. Sejumlah liputan lanjutan menyebut Huntress kini mencatat 173 tenant, dan Huntress menegaskan jumlah sebenarnya bisa lebih besar karena kredensial itu berlaku di setiap tenant tempat aplikasi dipasang.
Yang terjadi pada 15 Oktober
Menurut Huntress, identitas aplikasi ConnectWise Cloud Backup masuk ke tenant pelanggan dari satu alamat IP, 144.172.64.128, pada 15 Oktober 2026 antara pukul 06:13 dan 08:34 UTC, lalu menerima token akses Microsoft Graph. Alamat itu milik penyedia hosting, sementara trafik normal aplikasi ini keluar dari rentang privat Azure.
Polanya kelihatan seperti skrip, bukan orang yang bekerja manual.
“The actor moved through tenants in sorted GUID order, a few seconds apart, which points to a script working from a target list.” — Jonathan Semon, peneliti Huntress.
Alamat IP yang sama juga lebih dulu melakukan password spraying ke empat tenant firma hukum pada 13–14 Oktober, tanpa satu pun login pengguna yang berhasil. Huntress menemukan hampir 1.000 tenant Entra dengan aktivitas login dari alamat tersebut, dan lebih dari 300 di antaranya sukses.
Mengapa MFA tidak menolong
Penyerang tidak menebak password, mencuri sesi, atau melewati prompt apa pun. Mereka masuk sebagai aplikasi, memakai kredensial yang tersimpan di tenant ConnectWise sendiri. Jenis kredensialnya client assertion — tidak ada tindakan pelanggan mana pun di tenant mereka yang bisa memunculkannya.
Konsekuensinya, multi-factor authentication, conditional access, dan kebijakan password tidak relevan di kasus ini karena semuanya mengatur login pengguna. Yang terjadi di sini autentikasi aplikasi ke aplikasi, tercatat di log service principal sign-ins. Microsoft Threat Intelligence menyebut insiden ini serangan rantai pasok aktif.
Akses apa yang diwarisi penyerang
Aplikasi backup memang butuh izin luas agar bisa bekerja — dan izin itu ikut berpindah utuh. Menurut Todyl, akses yang diwarisi mencakup baca dan tulis email beserta lampirannya (akses penuh mailbox lewat Exchange Web Services), file OneDrive dan SharePoint, chat Teams, sampai kemampuan memulihkan data. Sebagian pembacaan direktori lewat Microsoft Graph bahkan tidak meninggalkan jejak audit. Microsoft menilai penyerang memakai izin yang sudah diberikan pelanggan, termasuk Directory.ReadWrite.All.
Jejak eskalasi dan backdoor
Temuan Huntress di satu tenant mitra lebih serius dari sekadar login. Aplikasi ConnectWise Cloud Management untuk Microsoft Teams menambahkan dirinya sendiri ke role Global Administrator pada 15 Oktober pukul 03:44 UTC, lalu menjalankan skrip Python yang menyuntikkan client secret baru ke dua aplikasi lain di tenant yang sama: sebuah alat manajemen MSP dan aplikasi Huntress Security Platform. Secret barunya disetel kedaluwarsa pada 2028, dan seluruh rangkaian itu selesai dalam sekitar lima menit.
Artinya, mematikan aplikasi ConnectWise saja tidak cukup. Di hampir 50 tenant yang Huntress pantau, service principal aplikasi Cloud Management memberi diri sendiri role direktori, kebanyakan Exchange Administrator. Todyl sendiri, dari analisis sembilan tenant, hanya menemukan aktivitas login tanpa bukti perubahan akun atau password.
Respons ConnectWise
ConnectWise menyatakan mendeteksi masalah ini pada 14 Oktober 2026 lewat pemantauan internal. Sesudah itu mereka menutup akses aplikasi Cloud Backup untuk semua mitra dan klien, mencabut sertifikat sambungan aplikasi terkait, dan menyatakan kredensial bersama Cloud Backup sudah tidak berlaku lagi. Arsip backup tetap terenkripsi, terisolasi, dan tidak ada bukti pernah diakses. Layanan backup masih mati sampai pengumuman berikutnya.
Satu pengakuan penting di advisory mereka: karena rancangan produknya tidak memberi ConnectWise visibilitas ke lingkungan pelanggan di hilir, mereka tidak bisa menentukan sendiri apakah tenant Microsoft 365 tertentu mengalami aktivitas tidak sah. Pertanyaan soal data apa yang benar-benar dibaca, berapa kerugiannya, dan bagaimana kredensial vendor itu bisa jatuh ke tangan penyerang masih terbuka.
Yang perlu dilakukan admin
- Cek Service principal sign-ins di Entra, filter Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae, lalu periksa alamat IP di luar rentang Microsoft/Azure. Tab User sign-ins biasa tidak menampilkan aktivitas ini.
- Nonaktifkan — jangan hapus — aplikasi ConnectWise Cloud Backup dan Cloud Management MS Teams di tenant Anda.
- Audit semua client secret dan certificate pada aplikasi Anda untuk penambahan sejak 13 Oktober 2026, lalu cabut yang tidak dikenal. Prioritaskan alat keamanan dan alat manajemen.
- Periksa penambahan role direktori, terutama Exchange Administrator dan Global Administrator, yang bukan Anda berikan.
- Token yang sudah terbit tetap berlaku sampai kedaluwarsa, jadi menonaktifkan aplikasi tidak memutus akses saat itu juga.
Catatan untuk pembaca di Indonesia
Banyak perusahaan di Indonesia menyerahkan pengelolaan Microsoft 365 ke MSP atau penyedia IT pihak ketiga. Model itu hemat tenaga, tapi membuat kredensial milik vendor jadi bagian dari permukaan serangan yang tidak bisa Anda rotasi sendiri. Kalau tenant perusahaan Anda masih memasang ConnectWise Cloud Backup atau aplikasi SkyKick lama, cek sekarang.
Foto: The National Archives (UK) via Wikimedia Commons (CC BY 3.0).
