Хакеры получили доступ к средам Microsoft 365 как минимум 162 организаций. Они вошли не через пароли сотрудников, а от имени сервиса резервного копирования ConnectWise Cloud Backup, бывшего SkyKick. Сервис отключён, копии не делаются и не восстанавливаются, а как злоумышленники добыли ключ, пока неизвестно. Вход без человека Cloud Backup продают в основном провайдерам управляемых ИТ-услуг (MSP), то есть компаниям, которые обслуживают чужие офисы. Сервис копирует почту, файлы и данные Teams клиентов, чтобы их можно было вернуть после сбоя или случайного удаления, уточняет
xrust. Для этого он регистрируется внутри Microsoft 365 организации как отдельное приложение с очень широкими правами. В терминах Microsoft Entra ID это «сервисный принципал». Чужие логины злоумышленникам не понадобились. По данным компании Todyl, они вошли в облако клиента как само приложение, подставив его секретный ключ. Вход делал скрипт, живой пользователь в процессе не участвовал, поэтому многофакторная