Kredensial ConnectWise Cloud Backup Dipakai Bobol M365

Kredensial milik aplikasi ConnectWise Cloud Backup (sebelumnya bernama SkyKick) jatuh ke tangan penyerang dan dipakai untuk masuk ke tenant Microsoft 365 pelanggan. Karena yang dipakai adalah identitas aplikasi, bukan akun orang, penyerang bisa memperoleh token Microsoft Graph tanpa login pengguna dan tanpa melewati MFA.

Kenapa ini penting? Aplikasi backup diberi izin sangat luas supaya bisa menyalin dan memulihkan email, OneDrive, SharePoint, dan Teams. Siapa pun yang memegang kredensialnya ikut mewarisi izin itu di setiap tenant tempat aplikasi tersebut dipasang. Kalau kantormu atau penyedia IT-mu (MSP) memakai layanan ini, ada pekerjaan rumah yang tidak selesai hanya dengan menunggu vendor.

Apa yang sebenarnya terjadi?

Huntress, perusahaan keamanan yang pertama kali merinci kasus ini pada 16 Oktober 2026, menyebut "API secret" aplikasi ConnectWise Cloud Backup telah bocor. Pada 15 Oktober 2026 antara pukul 06.13 dan 08.34 UTC, identitas aplikasi itu login ke tenant pelanggan dari sebuah alamat IP milik penyedia hosting, lalu menerima token Microsoft Graph. Lalu lintas resmi aplikasi ini biasanya berasal dari jaringan internal Azure, jadi pola tersebut jelas tidak normal.

Penyerang bergerak dari satu tenant ke tenant lain dengan jeda beberapa detik dan berurutan menurut ID tenant. Huntress menilai pola ini menunjukkan skrip yang bekerja dari daftar target, bukan serangan manual satu per satu.

Microsoft juga mengonfirmasi aktivitas tersebut dan menilai penyerang kemungkinan menyalahgunakan izin yang sudah diberikan pelanggan, termasuk izin setinggi Directory.ReadWrite.All. Dalam pembaruan 27 Oktober, Huntress mencatat bahwa laporan Microsoft tanggal 21 Oktober mengaitkan serangan ini dengan kelompok yang dilacak sebagai Storm-0940.

Berapa banyak organisasi yang kena?

Angkanya berbeda tergantung siapa yang menghitung dan kapan. Per 16 Oktober 2026 pukul 19.00 UTC, Huntress mengonfirmasi login tidak sah di 162 tenant yang bisa mereka pantau. Dalam pembaruan berikutnya, Huntress menyebut hampir 1.000 tenant Entra mencatat aktivitas login dari IP penyerang, dan lebih dari 300 di antaranya berhasil. ConnectWise sendiri tidak merilis jumlah korban dan menyatakan tidak punya visibilitas ke lingkungan pelanggan.

Jadi angka pastinya belum ada. Yang jelas, kredensial itu berlaku di semua tenant yang memberi izin ke aplikasi tersebut, sehingga korban tidak terbatas pada tenant yang sudah terkonfirmasi.

Kenapa satu tenant sampai punya Global Administrator baru?

Di sinilah kasusnya jadi lebih serius. Di satu tenant pelanggan Huntress, aplikasi ConnectWise lain, yaitu ConnectWise Cloud Management untuk Microsoft Teams, menambahkan dirinya ke peran Global Administrator. Setelah itu aplikasi tersebut menambahkan client secret baru ke dua aplikasi lain di tenant yang sama, salah satunya aplikasi milik Huntress sendiri. Secret baru itu diatur berlaku sampai 2028.

Artinya, mematikan aplikasi ConnectWise saja tidak cukup. Secret yang sudah ditanam di aplikasi lain tetap bisa dipakai untuk login sebagai aplikasi tersebut, dari mana saja, tanpa MFA, sampai ada yang menghapusnya. Di sekitar 50 tenant lain, Huntress juga melihat aplikasi Cloud Management memberi dirinya peran direktori, kebanyakan Exchange Administrator.

Bagaimana respons ConnectWise?

Pada 17 Oktober ConnectWise menghentikan akses aplikasi Cloud Backup untuk semua partner dan pelanggan, lalu menonaktifkan tujuh identitas aplikasi terkait dan mencabut sertifikat yang dipakai koneksi tersebut. Akibatnya backup terjadwal berhenti, dan akses ke arsip serta fitur restore ikut tidak tersedia. Layanan SaaS Security dan Cloud Management juga dimatikan sebagai langkah pencegahan.

ConnectWise menyatakan sejauh ini tidak ada indikasi data backup partner dibobol, dan arsip yang ada tetap terenkripsi serta terisolasi. Saat itu ConnectWise belum memberi jadwal kapan layanan kembali normal.

Apa yang perlu dicek admin Microsoft 365?

Ringkasan langkah dari Huntress, ConnectWise, dan Microsoft:

Huntress mengingatkan bahwa hasil log yang bersih belum tentu berarti aman. Pembacaan direktori lewat Microsoft Graph tidak meninggalkan jejak di audit log, jadi aplikasi tetap disarankan dinonaktifkan dulu. Jangan aktifkan kembali sebelum ConnectWise memastikan semua kredensial sudah diganti.

Menonaktifkan aplikasi memang menghentikan backup otomatis sementara. Email, file, dan login pengguna tetap berjalan, dan backup lama di ConnectWise tidak terhapus. Kalau jeda titik pemulihan ini berisiko bagi bisnismu, pertimbangkan salinan cadangan sementara di tempat lain.

Apa pelajaran untuk kantor kecil?

Kasus ini contoh klasik serangan rantai pasok: penyerang tidak membobol korban satu per satu, melainkan mengambil kunci milik vendor yang sudah dipercaya banyak pelanggan. Polanya mirip dengan phishing lewat izin aplikasi OAuth, hanya saja kali ini izinnya diberikan secara sah sejak awal.

Beberapa hal yang bisa langsung dibiasakan:

• Catat aplikasi pihak ketiga yang punya izin di tenant Microsoft 365, lalu hapus yang sudah tidak dipakai.
• Batasi siapa yang memegang peran Application Administrator dan Cloud Application Administrator.
• Gunakan kebijakan pengelolaan aplikasi di Entra untuk membatasi client secret dan masa berlakunya.
• Jangan bergantung pada satu layanan backup saja. Prinsip seperti aturan backup 3-2-1-1-0 membantu agar data tetap bisa dipulihkan saat satu vendor berhenti beroperasi.