Istraživači su otkrili da su nepoznati napadači iskoristili ukradenu vjerodajnicu ConnectWise Cloud Backupa za neovlašteni pristup 173 okruženja Microsoft 365. Aplikacija ConnectWise Cloud Backup, koja se koristi za sigurnosno kopiranje podataka upravljanih usluga, ima široka dopuštenja za pristup poštanskim pretincima, OneDriveu, SharePointu, Teamsu i podacima direktorija u svakom okruženju u kojem je instalirana.
Napadači su putem IP adrese 144.172.64.128 dobili Microsoft Graph tokene u razdoblju od 06:13 do 08:34 UTC 15. listopada, pri čemu su okruženja pretraživali po GUID-u u razmaku od nekoliko sekundi. S iste je IP adrese 13. i 14. listopada izveden pokušaj masovnog unosa lozinki protiv četiri odvjetnička okruženja, iako nije zabilježena uspješna prijava.
U jednom je od okruženja otkriven ConnectWise dodatak koji je sam sebi dodijelio ulogu globalnog administratora i dodao vjerodajnice drugim pouzdanim aplikacijama, čime je otvoren put prema dodatnim privilegiranim aplikacijama u okruženju kupca.
