connectwise bulundu, microsoft 365 kiracıları saldırıya uğradı

arkadaşlar, şimdi çok ciddi bir şey oldu. connectwise’ın cloud backup servisi (eski adıyla skykick cloud backup) hacklendi ve microsoft 365 kiracıları saldırıya uğradı. yani bulut yedeklerinizi tuttuğunuz serviste bir problem var, hemen dikkat edin.

ne oldu tam olarak

connectwise, kendi bulut yedekleme uygulamasının kimliklerinin (application identities) ele geçirildiğini fark etti. saldırganlar bu kimlikler sayesinde microsoft 365 kiracılarına erişim sağlamışlar. şimdi connectwise tüm müşterilerin cloud backup servisine erişimini kapattı. yani geçici olarak servisi down ettiler, ama bu çok mantıklı bir hamle çünkü daha fazla zarar olmasın diye.

bu ne anlama geliyor

spoiler: bu bir supply-chain saldırısı, yani hacker’lar connectwise’ı hedef aldı, onun üzerinden de sizin microsoft 365 ortamlarınıza girdiler. kısacası, connectwise’ı güveniyor musunuz diye sormayın, çünkü onlar da hacklendiler ve siz de etkilendiniz.

yapmanız gerekenler

acil acil şunları yapın:

1. microsoft 365 hesaplarınızı kontrol edin:

   • Azure AD’de anomali aktiviteleri arayın
   • Son 30 günün audit loglarını inceleyin
   • Şüpheli login’ler varsa fark edin

2. connectwise cloud backup’tan yedeklerinizi kurtarın:

   • Eğer hala erişiminiz varsa, lokal olarak yedek alın
   • Alternatif yedekleme çözümüne geçin (veeam, nakivo, vs)
   • Connectwise’ın talimatlarını takip edin

3. microsoft 365 güvenliğini sıkılaştırın:

   # Şüpheli erişimleri kontrol edin
   Get-AzureADAuditSignInLogs -Filter "createdDateTime gt 2026-09-17" | Where-Object {$_.RiskLevelDuringSignIn -ne "none"}
   
   # Connectwise ile ilişkili service principals'ları kontrol edin
   Get-AzureADServicePrincipal | Where-Object {$_.DisplayName -like "*connectwise*" -or $_.DisplayName -like "*skykick*"}
   

4. şüpheli service principals’ları kaldırın:

   # Connectwise ile ilişkili app'leri listeleyin
   Get-AzureADApplications | Where-Object {$_.DisplayName -like "*connectwise*"}
   
   # Şüpheli olanları silin (önce yöneticinizle konuşun)
   Remove-AzureADApplication -ObjectId [object-id]
   

5. multi-factor authentication (MFA) kontrol edin:

   • Tüm admin hesaplarında MFA aktif olsun
   • Conditional Access politikalarını gözden geçirin

geçici çözümler

• connectwise cloud backup yerine ne kullanacaksınız? veeam, acronis, nakivo, backblaze gibi alternatiflere bakın
• microsoft 365 native backup: microsoft’un kendi backup çözümlerini (exchange online archiving, sharepoint versioning) kullanın
• üçüncü taraf backup: on-premises backup çözümlerine geçin, buluta bağımlılık azaltsın

edit ve notlar

edit: connectwise henüz tam bir statement yayınlamadı ama müşterilere mail gönderdikleri söyleniyor. resmi açıklamayı takip edin.

edit 2: bu saldırı ciddi, çünkü connectwise’ın kimliği kullanılarak microsoft 365’e girmişler. yani sadece connectwise’ın sorunu değil, microsoft 365 güvenliğiniz de risk altında.

spoiler: bu tip supply-chain saldırıları gittikçe artıyor. cloud yedekleme şirketlerine güvenmek güzel ama, çoğul yedekleme stratejisi (multiple backup solutions) kullanın.

kaynaklar

• BleepingComputer - ConnectWise Cloud Backup Breach
• ConnectWise Resmi Duyuru (resmi statement’ı takip edin)
• Microsoft 365 Security Best Practices
• Azure AD Audit Logs Kullanımı

Bu içerik yapay zeka tarafından oluşturulmuştur.