# Mihez fér hozzá az IT-szolgáltatód a Microsoft 365-ödben?

URL: https://casterconsulting.hu/connectwise-microsoft-365-tamadas/
Published: 2026-10-18
Updated: 2026-10-18
Author: Caster Consulting

> Valószínűleg több mindenhez, mint gondolnád, és ezt a hét ConnectWise-incidense mutatta meg. A támadók egy mentőszolgáltatás alkalmazásaként léptek be több száz Microsoft 365 környezetbe, és ez ellen a kétfaktoros azonosítás sem védett.

**Rövid válasz: valószínűleg több mindenhez, mint gondolnád, és ezt most érdemes ellenőrizni.** A hét ConnectWise-incidense megmutatta, hogy egy Microsoft 365 környezetben nem a felhasználói jelszó az egyetlen kapu. Ott vannak az alkalmazások is, amelyeknek valamikor engedélyt adtál: mentés, levelezésszűrés, eszközkezelés. Ha egy ilyen szolgáltatót feltörnek, a támadó a te engedélyeddel lép be, és ez ellen a kétfaktoros azonosítás sem véd.

## Mi történt?

A ConnectWise Cloud Backup (korábbi nevén SkyKick) Microsoft 365 adatokat ment, főleg IT-szolgáltatók ügyfelei számára. Ehhez a Microsoft Entra ID-ben adott jogosultságokat használja. A Huntress biztonsági cég szerint valaki megszerezte ennek az alkalmazásnak a hitelesítő adatát, és október 15-én az alkalmazás nevében elkezdett belépni az ügyfelek Microsoft 365 környezeteibe. Nem felhasználóként, hanem szkriptből, ezért kétfaktoros azonosítás nem volt a folyamatban.

A számok gyorsan nőttek. A Huntress október 16-án 162 környezetben erősítette meg a jogosulatlan belépést. Egy nappal később már közel 1000 olyan környezetet talált, ahol a támadó címéről belépési kísérlet történt, és ebből több mint 300 sikeres volt. A Huntress maga hangsúlyozza: ez nem jelenti azt, hogy mind a 300 helyen adatot is vittek.

Néhány helyen viszont tovább jutottak. A BleepingComputer és a Huntress szerint a ConnectWise kapcsolódó alkalmazásai mintegy 50 környezetben adminisztrátori szerepkört adtak maguknak, többnyire Exchange-adminisztrátorit. Egy esetben az egyik alkalmazás globális adminisztrátor lett, majd más alkalmazásokhoz is új jelszót (client secret) adott, 2028-ig érvényeset. Ez egy hátsó kapu: akkor is működik, ha az eredeti alkalmazást letiltják. A BleepingComputer egy olyan esetet is idéz, ahol az érintett alkalmazást évek óta nem használták.

A ConnectWise október 17-én leállította a szolgáltatást, és letiltott hét alkalmazásidentitást. A cég szerint nincs jele annak, hogy a mentett adatokhoz hozzáfértek. A BleepingComputer által idézett október 18-i frissítés szerint viszont amíg a szolgáltatás áll, ütemezett mentés nem fut, és visszaállítani sem lehet; helyreállítási időpontot nem adtak meg. Hogy a hitelesítő adat hogyan került ki, azt a ConnectWise eddig nem közölte, és az iTnews szerint azt sem tudja megmondani, egy-egy ügyfélkörnyezetbe ténylegesen beléptek-e.

## Mit jelent ez egy kkv-nak?

Két dolgot, és egyik sem a ConnectWise-ról szól.

**Az első: a jogosultságok nem öregszenek el maguktól.** Sok kkv-nál évekkel ezelőtt valaki rákattintott egy „Elfogadom” gombra egy mentő-, archiváló vagy riportoló eszköznél. Az eszközt azóta lecserélték, a hozzáférés megmaradt. Tipikus helyzet, hogy a cégvezető nem tudja, hány külső alkalmazás olvashatja a céges leveleket. Gyakran az IT-szolgáltató sem tudja pontosan. Ha jól beállítottad a kétfaktoros azonosítást (erről a [kétfaktoros azonosítás és jelszókezelés](/ketfaktoros-azonositas-jelszokezeles/) cikkünkben írtunk), az a felhasználói fiókokat védi. Az alkalmazásokat nem.

**A második: a mentés is szolgáltató.** Aki ezt a szolgáltatást használta, annak most napok óta nem fut a Microsoft 365 mentése, és visszaállítani sem tud. Ha ebben az időszakban egy zsarolóvírus vagy egy elrontott törlés érinti, nincs honnan visszahozni az adatot. Egyetlen mentés egyetlen szolgáltatónál nem stratégia, hanem remény. A [zsarolóvírus és mentési stratégia](/zsarolovirus-mentesi-strategia/) cikkünkben leírtuk, hogyan érdemes ezt felépíteni.

Fontos: ez nem azt jelenti, hogy ne bízz külső IT-szolgáltatóban. Azt jelenti, hogy tudnod kell, milyen kulcsot adtál neki, és mit csinál vele.

## Mit tegyél most?

1. **Ha ConnectWise- vagy SkyKick-terméket használtok (vagy nem tudod),** kérdezd meg ma az IT-szolgáltatódat. A Huntress javaslata: az érintett alkalmazásokat letiltani, nem törölni, és minden alkalmazásnál megnézni, került-e rájuk október 13. óta új jelszó vagy tanúsítvány, amit nem ti adtatok hozzá.
2. **Nézd át a külső alkalmazásokat.** A Microsoft Entra felületén az Enterprise apps listában látszik, melyik alkalmazás milyen engedélyt kapott; a Microsoft leírása lépésről lépésre végigvezet rajta. Ami ismeretlen, vagy évek óta nem lépett be, azt az IT-felelőssel együtt tiltsd le.
3. **Kérdezd meg az IT-szolgáltatót három dologról:** mely alkalmazásai férnek hozzá a cég Microsoft 365 környezetéhez, milyen szerepkörrel, és ki értesít titeket, ha egy szolgáltatójukat feltörik. Ha erre nincs írásos válasz, az már maga is válasz.
4. **Legyen második mentésed.** A Microsoft 365 adatairól legyen egy másik, független helyen is másolat, és egyszer próbáld ki a visszaállítást. Nem akkor kell kiderülnie, hogy működik, amikor szükség van rá.
5. **Korlátozd, ki adhat engedélyt új alkalmazásnak.** A felhasználók ne kattinthassanak egyedül „Elfogadom” gombra olyan alkalmazásnál, amely a céges leveleket vagy fájlokat kéri; ehhez adminisztrátori jóváhagyás kelljen.

Ha szeretnéd, hogy valaki átnézze, milyen hozzáférések és mentések védik a céges rendszereidet, nézd meg az [infrastruktúra](/infrastruktura/) szolgáltatásunkat.

## Sources

- [Huntress – ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks](https://www.huntress.com/blog/vendor-credential-enables-unauthorized-access)
- [BleepingComputer – Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack](https://www.bleepingcomputer.com/news/security/hackers-breach-microsoft-365-tenants-via-connectwise-supply-chain-attack/)
- [iTnews – Stolen ConnectWise 'SkyKick' credential exposed Microsoft 365 tenants](https://www.itnews.com.au/news/stolen-connectwise-skykick-credential-exposed-microsoft-365-tenants-629721)
- [Microsoft Learn – Review permissions granted to enterprise applications](https://learn.microsoft.com/en-us/entra/identity/enterprise-apps/manage-application-permissions)