Gestolen wachtwoord bij back-upleverancier opent Microsoft 365 van honderden bedrijven
Een gestolen inloggegeven van de back-updienst Cloud Backup van ConnectWise gaf toegang tot de Microsoft 365-omgeving van klanten van IT-partners. Huntress zag onbevoegde aanmeldingen in 162 omgevingen en activiteit in bijna duizend. De dienst is offline. Voor KMO's is de vraag nu wie toegang heeft tot hun mailboxen en of een terugzetting ooit getest is.
Wie de back-up van zijn Microsoft 365 laat verzorgen door een IT-partner, geeft die partner ook toegang tot de eigen mailboxen en bestanden. Bij softwareleverancier ConnectWise liep dat mis. Een gestolen inloggegeven van de back-updienst Cloud Backup gaf toegang tot de Microsoft 365-omgeving van klanten van die partner. ConnectWise heeft de toegang tot de dienst stilgelegd terwijl het onderzoek loopt.
De bron: Stolen ConnectWise SkyKick credential exposed Microsoft 365 tenants, iTnews, 18 oktober 2026, bijgewerkt op 19 oktober. Het Nederlandse bericht verscheen op 19 oktober bij Tweakers: Aanval op ConnectWise raakt ook honderden klantbedrijven.
Wat er precies gebeurde
Cloud Backup heette vroeger SkyKick. Het is een dienst waarmee IT-dienstverleners de Microsoft 365-gegevens van hun klanten veiligstellen: mail, agenda, OneDrive en Teams. Om dat te kunnen, moet de dienst toestemming krijgen in de Microsoft 365-omgeving van elke klant. Eén inloggegeven van de leverancier opent dus niet één account, maar elke omgeving waarin die toestemming ooit is gegeven.
Beveiligingsbedrijf Huntress zag dat het gestolen gegeven ook echt gebruikt werd. In 162 omgevingen waren er aanmeldingen die niet van de eigenaar kwamen. In bijna duizend omgevingen was er activiteit vanaf het adres van de aanvaller. ConnectWise heeft het gegeven ongeldig gemaakt en de toegang van de toepassing afgesloten. Het bedrijf zegt geen aanwijzingen te hebben dat opgeslagen back-ups zijn ingekeken. Het kan wel niet in de omgevingen van klanten kijken en kan dus ook niet zeggen welke klanten precies bezocht zijn. Hoe het gegeven gestolen werd, heeft het bedrijf nog niet uitgelegd.
Een tweede toepassing ging verder
In één omgeving ging een tweede ConnectWise-toepassing verder dan kijken alleen. Die gaf zichzelf beheerdersrechten over de volledige omgeving en voegde daarna inloggegevens toe aan twee andere toepassingen, waaronder een beheertool van een IT-dienstverlener en een beveiligingstool. Die gegevens bleven geldig tot 2028. Huntress vond ze en heeft ze verwijderd.
In een aparte reeks pogingen werden zestien omgevingen aangevallen in de sectoren beleid, nationale veiligheid, handel en kritieke grondstoffen. Die pogingen mislukten. Wie er achter zit, is nog niet bekendgemaakt.
Waarom dit elke KMO aangaat
De keten is altijd dezelfde. Een bedrijf besteedt zijn IT uit aan een partner. Die partner werkt met een handvol tools die in alle klantomgevingen tegelijk draaien. Zo'n tool krijgt de ruimste rechten die er bestaan, want hij moet kunnen lezen en terugzetten. Eén zwak wachtwoord bij de leverancier van die tool is dan geen probleem van één klant, maar van elke klant die ooit toestemming gaf.
Dat is geen reden om te stoppen met back-uppen, wel om te weten wie er toegang heeft. De meeste KMO's kunnen vandaag niet zeggen welke externe toepassingen in hun Microsoft 365 zijn toegelaten. Dat overzicht staat in het beheerportaal van Microsoft, bij de bedrijfstoepassingen. Vaak staan daar tools in die iemand jaren geleden eenmalig installeerde en die daarna nooit meer bekeken werden.
Wat u deze week vraagt
- Vraag uw IT-partner welke back-uptoepassing hij gebruikt en met welk account die aanmeldt.
- Vraag of dat account met tweestapsaanmelding is beveiligd en wie er allemaal bij kan.
- Vraag het overzicht van alle externe toepassingen met toestemming in uw Microsoft 365. Laat per toepassing zeggen waarvoor ze dient.
- Laat nakijken welke inloggegevens er sinds 13 oktober aan die toepassingen zijn toegevoegd. Dat is de datum die Huntress als vertrekpunt noemt.
- Zet een verdachte toepassing uit in plaats van ze te verwijderen. Verwijderen wist ook het spoor dat u nodig hebt om te weten wat er gebeurd is.
Eén punt verdient aparte aandacht: test een keer een echte terugzetting. Een back-up die nooit teruggezet werd, is een belofte en geen back-up. Vraag om één bestand en één mailbox van vorige maand terug te zetten, op een testaccount. Dat duurt een half uur en het antwoord is meer waard dan alle rapporten.
Wat ConnectWise zelf zegt
Een woordvoerder van ConnectWise liet op 19 oktober weten dat er tot nu toe geen aanwijzingen zijn dat de back-upgegevens van partners bekeken of gewijzigd zijn. De toegang van de toepassing is afgesloten. De bestaande archieven blijven ongewijzigd bewaard en zijn weer bereikbaar zodra de dienst terug online komt. Zolang de dienst offline is, kan er ook niet teruggezet worden. Voor een bedrijf dat net die week een bestand kwijt is, is dat het enige wat telt.
De les gaat verder dan deze ene leverancier. Elke koppeling die u met uw mailbox of bestanden toelaat, is een deur. Bij software op maat is dat niet anders: sommige koppelingen vragen meer rechten dan ze nodig hebben en blijven jaren open staan. Op onze pagina over software op maat leest u hoe we dat soort koppelingen opzetten en beperken.
Wilt u zien wat er voor uw eigen bedrijf mogelijk is? Vraag een gratis proefhomepage aan via https://www.hisarweb.be/proefhomepage.
Omslagbeeld: AI-gegenereerd.
