الخلاصة
- كونكت وايز عطّلت 7 هويات تطبيقات وعلّقت خدمة النسخ الاحتياطي السحابي بعد وصول غير مصرّح به
- هنتريس رصدت نحو 1000 مستأجر إنترا سُجّل فيها نشاط دخول من عنوان المهاجم، نجح منها 300
- الاختراق يتيح المصادقة بصلاحيات التطبيق نفسه للوصول إلى البريد وشيربوينت وتيمز دون سرقة كلمات المرور
خبر:
عطّلت شركة كونكت وايز 7 من هويات تطبيقاتها وعلّقت خدمة النسخ الاحتياطي السحابي عبر إبطال الشهادات المستخدمة في الاتصالات المتأثرة لدى جميع المستخدمين، بعد وصول جهات تهديد مجهولة إلى تلك الهويات واختراق بيئات مايكروسوفت 365. وقالت الشركة إن الإجراء نُفّذ في 17 أكتوبر 2026 عند الساعة 07:00 بتوقيت غرينتش، وإنها رصدت المشكلة في 14 أكتوبر.
تفصيل:
- الهويات المعطّلة: بحسب كونكت وايز، شملت القائمة هوية النسخ الاحتياطي السحابي وست هويات لإدارة السحابة، بينها تطبيقات مخصصة لـمايكروسوفت تيمز وإكستشينج أونلاين ومايكروسوفت غراف وبارتنر سنتر وشيربوينت أونلاين، مع نشر معرّفات كل هوية للسماح للشركاء بالتحقق من حالتها في بيئاتهم.
- حدود الإجراء: أوضحت الشركة أن تعطيل الاتصالات يمنع أي مصادقة جديدة عبرها لكنه لا يلغي تغييرات سبق أن أُجريت داخل المستأجر، وأن رموز الوصول الصادرة سابقاً قد تبقى صالحة حتى انتهاء صلاحيتها، فيما تتطلب أي صلاحيات أنشئت عبر هويات منفصلة معالجة إضافية.
- الأرشيفات: أفادت كونكت وايز بأن النسخ الاحتياطية المجدولة متوقفة وأن الوصول إلى الأرشيفات المتأثرة وقدرات الاستعادة غير متاح، مع تأكيدها أن الأرشيفات القائمة ما زالت مشفّرة ومعزولة ولا دليل على اختراقها.
- خدمات أوقفت: قالت الشركة إنها أوقفت مؤقتاً خدمتي SaaS Security وإدارة السحابة لحين استكمال مراجعة الحادث، وإنها لم تلاحظ نشاطاً تهديدياً ناجحاً في البيئات التي تراقبها منذ تطبيق إجراءات التخفيف، مع إقرارها بأن هذا لا يحدد وضع بيئات العملاء. ولم تُعلن جدولاً زمنياً لإعادة التشغيل.
- سبب الاختراق: لم تحدد كونكت وايز ما إذا كانت ثغرة في المنتج ساهمت في اختراق هويات التطبيقات، وقالت إن الآلية الدقيقة لتسريب بيانات الاعتماد ما زالت قيد تحليل جارٍ.
- آلية الخطر: تكمن خطورة الهجوم في أن سرقة بيانات اعتماد التطبيق تتيح المصادقة باسمه وطلب رموز وصول من مايكروسوفت إنترا آي دي وفق صلاحياته القائمة، ما قد يفتح الباب إلى صناديق البريد ووثائق شيربوينت ورسائل تيمز وبيانات الدليل دون سرقة كلمة مرور كل عميل.
- تثبيت الوجود: مع عمل تطبيقات كونكت وايز بصلاحيات واسعة، يمكن للمهاجم إضافة التطبيق إلى دور المسؤول العام، وإضافة أسرار عميل إلى تطبيقات موثوقة أخرى، وإنشاء تطبيقات جديدة ومنحها صلاحيات، ما يوفر وسيلة بديلة لاستعادة الدخول بعد إبطال بيانات الاعتماد الأصلية.
- رصد هنتريس: قال جون سيمون، كبير محللي العمليات الأمنية في هنتريس، إن آخر عمليات دخول خبيثة من العنوان الأصلي رُصدت في 15 أكتوبر عند 08:45 بتوقيت غرينتش، مع نشاط يدوي موجّه استمر حتى نحو 14:20 في اليوم نفسه، ولم تُرصد أنشطة جديدة منذ ذلك التاريخ.
- الموجة الثانية: أفادت هنتريس بأنها رصدت موجة ثانية موجّهة من العنوان 144.172.64.128 في 15 أكتوبر استهدفت 16 مستأجراً فقط في قطاعات السياسات والأمن القومي والتجارة والمعادن الحرجة، وباءت بالفشل، وشملت إكستشينج وشيربوينت وتيمز وإنترا وواجهات إدارة أوفيس 365.
- النطاق: بحسب هنتريس، رُصد نشاط دخول من العنوان المرتبط بالنشاط غير المصرح به في نحو 1000 مستأجر إنترا، نجح منها 300، فيما حال غياب مبدأ الخدمة في بعض المستأجرين دون وصول المهاجم إليها. وأكدت الشركة استغلال تطبيق تيمز في أحد المستأجرين.
خلفية:
كونكت وايز مزوّد لبرمجيات إدارة تقنية المعلومات يعتمد عليه شركاء يديرون بيئات عملاء متعددة. وتعمل تطبيقاتها بصلاحيات واسعة داخل مستأجري مايكروسوفت 365 لتنفيذ مهام النسخ الاحتياطي والإدارة، ما يجعل أي بيانات اعتماد مشتركة مسروقة مدخلاً محتملاً إلى عدد كبير من البيئات دفعة واحدة.
بين السطور:
قدّرت هنتريس أن تعطيل النسخ الاحتياطي السحابي لا يُنهي الخطر، لأن تطبيقات إدارة السحابة الخاصة بإكستشينج وتيمز وشيربوينت لم تُعطَّل بحسب رصدها، ورجّحت استمرار احتمال نشاط عبرها. ويتسق هذا مع إقرار كونكت وايز بأن رموز الوصول السابقة قد تبقى صالحة وأن الصلاحيات المنشأة عبر هويات منفصلة تحتاج معالجة مستقلة. واستهداف قطاعات الأمن القومي والمعادن الحرجة يشير إلى انتقاء موجّه لا إلى مسح عشوائي.
ماذا بعد؟
نتائج تحليل كونكت وايز لآلية تسريب بيانات الاعتماد، وما إذا كانت ثغرة في المنتج وراءها، وموعد إعادة تشغيل خدمتي SaaS Security وإدارة السحابة، ونتائج تحقيق هنتريس في تطبيقات إكستشينج وتيمز وشيربوينت.
