ConnectWise tạm dừng Cloud Backup sau khi bị tấn công
"ConnectWise suspended its Cloud Backup and several Cloud Management application identities after attackers gained unauthorized access. The attackers exploited compromised application credentials to access Microsoft 365 tenants, potentially gaining access to mailboxes, documents, and Teams messages. While existing backups remain encrypted, restoration capabilities are temporarily unavailable, and investigations are ongoing to determine the root cause."
Sự cố này cho thấy nguy cơ xâm phạm ứng dụng và mất quyền truy cập dữ liệu do thông tin đăng nhập bị đánh cắp. Các doanh nghiệp cần xem xét lại chính sách bảo mật của mình.
Việc tạm dừng dịch vụ Cloud Backup có thể gây gián đoạn hoạt động kinh doanh và ảnh hưởng đến khả năng phục hồi sau thảm họa. Các doanh nghiệp cần có kế hoạch dự phòng để đảm bảo tính liên tục.
ConnectWise đã tắt bảy ứng dụng, bao gồm Cloud Backup, sau khi phát hiện kẻ tấn công truy cập trái phép. Sự việc xảy ra vào ngày 17/10/2026. Kẻ tấn công lợi dụng thông tin đăng nhập bị xâm phạm để truy cập các tenant Microsoft 365, có khả năng tiếp cận hộp thư, tài liệu và tin nhắn Teams.
Đối với các kỹ sư và doanh nghiệp Việt Nam sử dụng dịch vụ của ConnectWise, đây là dấu hiệu cần theo dõi sát sao. Việc mất quyền truy cập vào bản sao lưu có thể ảnh hưởng đến khả năng phục hồi dữ liệu sau sự cố.
Cloud Backup và Cloud Management là hai ứng dụng bị ảnh hưởng chính. ConnectWise đã thu hồi chứng chỉ liên quan đến các kết nối bị ảnh hưởng. Tuy nhiên, việc này không đảo ngược các thay đổi đã thực hiện trong tenant.
Hiện tại, các bản sao lưu hiện có vẫn được mã hóa và bảo toàn. ConnectWise cho biết chưa có bằng chứng nào cho thấy dữ liệu bị xâm phạm. Tuy nhiên, khả năng khôi phục dữ liệu tạm thời bị đình chỉ. Họ cũng tạm dừng SaaS Security và Cloud Management để rà soát.
Theo Huntress, kẻ tấn công đã thực hiện một đợt tấn công thứ hai vào ngày 15/10/2026, nhắm vào 16 tenant trong các lĩnh vực chính sách, an ninh quốc gia, thương mại và khoáng sản quan trọng. Các nỗ lực này không thành công. Huntress nghi ngờ kẻ tấn công có thể đã thêm thông tin đăng nhập vào các ứng dụng khác trong Microsoft tenant, cho phép chúng tiếp tục truy cập ngay cả sau khi Cloud Backup bị tắt.
Câu hỏi thường gặp
Các ứng dụng nào của ConnectWise bị ảnh hưởng?
ConnectWise đã tắt bảy ứng dụng, bao gồm Cloud Backup, Cloud Management, MS Teams, Exchange Online, MS Graph, Partner Center và SharePoint Online.
Dữ liệu sao lưu có an toàn không?
ConnectWise khẳng định các bản sao lưu hiện có vẫn được mã hóa và bảo toàn, chưa có bằng chứng nào cho thấy dữ liệu bị xâm phạm. Tuy nhiên, khả năng khôi phục tạm thời bị đình chỉ.
Kẻ tấn công đã làm gì?
Kẻ tấn công lợi dụng thông tin đăng nhập bị xâm phạm để truy cập các tenant Microsoft 365 và có thể tiếp cận hộp thư, tài liệu và tin nhắn Teams.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự cố này cho thấy tầm quan trọng của việc quản lý quyền truy cập ứng dụng trong môi trường Microsoft 365. Các doanh nghiệp Việt Nam nên kiểm tra kỹ các quyền được cấp cho các ứng dụng của bên thứ ba. Điều đáng chú ý là việc kẻ tấn công có thể mở rộng quyền truy cập bằng cách thêm client secrets vào các ứng dụng khác, cho thấy cần giám sát liên tục các hoạt động trong tenant.