ConnectWise, saldırganların uygulama kimlik bilgilerini ele geçirerek Microsoft 365 ortamlarına yetkisiz erişim sağladığının belirlenmesinin ardından bazı bulut hizmetlerini geçici olarak devre dışı bıraktı. Şirket, soruşturma devam ederken yedi uygulama kimliğini devre dışı bıraktı, ilgili sertifikaları iptal etti ve Bulut Yedekleme hizmetini askıya aldı.

Olay, yalnızca kullanıcı parolalarının değil, şirketlerin bulut hizmetlerine erişmek için kullandığı uygulama kimlik bilgilerinin de saldırganlar tarafından hedef alınabileceğini gösteriyor.

ConnectWise, yedi uygulama kimliğini devre dışı bıraktı

BT yönetim yazılımları sağlayan ConnectWise, 14 Ekim 2026’da tespit ettiği güvenlik olayının ardından soruşturma ve müdahale çalışmalarını başlattı. Şirket, 17 Ekim’de yedi uygulama kimliğini devre dışı bırakarak bu bağlantılar üzerinden yeni kimlik doğrulama işlemlerini engelledi.

Etkilenen uygulamalar arasında ConnectWise Bulut Yedekleme ile Microsoft Teams, Exchange Online, SharePoint Online ve Microsoft Graph gibi hizmetlerle bağlantı kuran ConnectWise Bulut Yönetimi bileşenleri bulunuyor.

Şirket ayrıca etkilenen uygulama bağlantılarında kullanılan sertifikaları tüm kullanıcılar genelinde iptal etti ve soruşturma tamamlanana kadar Bulut Yedekleme, SaaS Güvenliği ve Bulut Yönetimi hizmetlerini geçici olarak devre dışı bıraktı.

ConnectWise, mevcut yedekleme arşivlerinin şifrelenmiş ve izole edilmiş durumda olduğunu, bu arşivlerin saldırganlar tarafından ele geçirildiğine veya bunlara erişildiğine ilişkin bir kanıt bulunmadığını açıkladı.

Saldırganlar Microsoft 365 ortamlarına nasıl erişebildi?

Olayın merkezinde, uygulamaların bulut hizmetlerine bağlanmak için kullandığı kimlik bilgileri bulunuyor.

Bir şirket uygulaması, Microsoft 365 üzerinde posta kutularına erişmek veya SharePoint belgelerini yönetmek gibi görevleri yerine getirebilmek için belirli izinlerle yetkilendirilebilir. Bu uygulamaların kimlik bilgileri ele geçirilirse saldırganlar, uygulamanın sahip olduğu yetkileri kötüye kullanabilir.

Saldırının temelini anlamak için iki kavram önem taşıyor:

• Uygulama kimliği: Bir yazılımın başka bir hizmet tarafından tanınmasını sağlayan kimliktir. Uygulama, kimliğini doğrulamak için sertifika veya istemci sırrı gibi kimlik bilgilerini kullanabilir.
• Erişim belirteci (access token): Kimliği doğrulanmış bir uygulamanın veya kullanıcının belirli kaynaklara erişmesini sağlayan dijital yetkilendirme bilgisidir.

ConnectWise olayında saldırganların ele geçirilen uygulama kimlik bilgilerini kullanarak Microsoft Entra ID üzerinden erişim belirteçleri talep edebildiği değerlendiriliyor. Microsoft Entra ID, kullanıcıların ve uygulamaların kimlik doğrulamasını ve erişim yetkilendirmesini yöneten Microsoft hizmetidir.

Uygulamalara verilmiş izinlere bağlı olarak bu erişim; e-postaları, Teams mesajlarını, SharePoint belgelerini ve dizin bilgilerini kapsayabilir.

Saldırganlar erişimlerini kalıcı hâle getirmeye çalışmış olabilir

Olayı daha ciddi hâle getiren risk, saldırganların yalnızca mevcut uygulama kimlik bilgilerini kullanmakla sınırlı kalmaması.

Olayla ilgili teknik değerlendirmelere göre, ele geçirilen uygulama kimlik bilgileri üzerinden yetkilerin genişletilmesi veya başka uygulamalara yeni kimlik bilgileri eklenmesi mümkün olabilir. Örneğin saldırganlar, yeterli yetkiye sahip olmaları durumunda başka uygulamalar için istemci sırları (client secrets) oluşturabilir.

İstemci sırrı, bir uygulamanın kimliğini doğrulamak için kullanılan ve parola benzeri işlev gören gizli bilgidir. Saldırgan böyle bir bilgiyi oluşturmayı başarırsa, ilk ele geçirilen kimlik bilgileri iptal edilse bile yeni erişim yolunu kullanmayı deneyebilir.

Bu nedenle yalnızca bilinen uygulamaları devre dışı bırakmak yeterli olmayabilir. Kurumların uygulama izinlerini, yeni oluşturulmuş kimlik bilgilerini ve dizin üzerindeki yetki değişikliklerini de incelemesi gerekir.

Huntress, ikinci bir saldırı dalgası tespit etti

Siber güvenlik şirketi Huntress, ConnectWise olayının ardından Microsoft 365 ortamlarını hedef alan ek saldırı girişimleri gözlemlediğini bildirdi.

Şirketin açıklamasına göre, 15 Ekim 2026’da gerçekleştirilen ikinci saldırı dalgasında 16 kiracı hedef alındı. Bu girişimlerin başarısız olduğu belirtildi. Hedefler arasında politika, ulusal güvenlik, ticaret ve kritik maden sektörlerinde faaliyet gösteren kuruluşlar bulunuyordu.

Huntress ayrıca, söz konusu saldırı faaliyetleriyle ilişkili yetkisiz oturum açma etkinliği görülen yaklaşık 1.000 Microsoft Entra kiracısı belirlediğini açıkladı. Bunların yaklaşık 300’ünde başarılı oturum açma gerçekleşti.

Ancak başarılı bir oturum açma, saldırganın her durumda ilgili ortamdaki kaynaklara erişebildiği anlamına gelmiyor. Huntress, bazı kiracılarda gerekli hizmet sorumlusunun bulunmamasının erişimi engellediğini belirtti. Hizmet sorumlusu (service principal), bir uygulamanın belirli bir kuruluşun bulut ortamındaki kimliğini ve erişim yetkilerini temsil eder.

Huntress, 15 Ekim’den sonra yeni kötü amaçlı faaliyet tespit etmediğini de bildirdi. Bununla birlikte, bu durum tüm hedeflenen ortamlardaki riskin ortadan kalktığını tek başına göstermiyor.

Yedekleme hizmetinin kapatılması ne anlama geliyor?

ConnectWise’ın aldığı önlemler, saldırı riskini sınırlandırmayı amaçlıyor. Ancak hizmetlerin geçici olarak devre dışı bırakılması operasyonel aksaklıklara da neden oluyor.

Şirketin açıklamasına göre:

• Planlanmış yedekleme işlemleri çalışmıyor.
• Etkilenen yedekleme arşivlerine erişilemiyor.
• İlgili geri yükleme özellikleri kullanılamıyor.
• Daha önce oluşturulmuş yedeklerin saldırganlar tarafından ele geçirildiğine dair bir kanıt bulunmuyor.

Önemli bir ayrıntı da şu: Bir uygulama bağlantısının devre dışı bırakılması, daha önce ilgili Microsoft 365 kiracısında yapılmış değişiklikleri otomatik olarak geri almıyor. Ayrıca önceden verilmiş erişim belirteçleri, süreleri dolana veya başka bir yöntemle geçersiz kılınana kadar kullanılabilir durumda kalabilir.

Bu nedenle kuruluşların yalnızca ConnectWise tarafındaki önlemlere güvenmek yerine kendi Microsoft 365 ortamlarını da incelemesi gerekiyor.

Kuruluşların alması gereken güvenlik önlemleri

Huntress’ın önerileri doğrultusunda, ConnectWise hizmetlerini veya ilgili uygulama bağlantılarını kullanan kuruluşların şu adımları değerlendirmesi gerekiyor:

1. Microsoft 365 kiracılarını inceleyin: Kendi ortamınızın yanı sıra yönetilen müşteri ortamlarında da şüpheli oturum açma etkinliklerini kontrol edin.
2. Uygulama izinlerini denetleyin: ConnectWise ve diğer ilgili uygulamaların etkin durumunu, izinlerini ve sahiplerini doğrulayın.
3. Denetim kayıtlarını koruyun: Özellikle 13 Ekim 2026’dan itibaren gerçekleşen şüpheli oturum açma ve yapılandırma değişikliklerine ilişkin kayıtları saklayın.
4. Yeni kimlik bilgilerini araştırın: Yetkisiz istemci sırları, uygulamalar, izinler ve federasyon güvenleri oluşturulup oluşturulmadığını kontrol edin.
5. E-posta kurallarını kontrol edin: Şüpheli posta kutusu yönlendirmelerini, gelen kutusu kurallarını ve yetkilendirilmiş posta kutusu erişimlerini inceleyin.
6. Yetkileri sınırlandırın: Uygulamalara yalnızca görevlerini yerine getirmek için ihtiyaç duydukları izinleri verin. Uygulama kimlik bilgisi oluşturabilecek yönetici sayısını da sınırlayın.

Soruşturma devam ediyor

ConnectWise, uygulama kimlik bilgilerinin nasıl ele geçirildiğini araştırmayı sürdürüyor. Şu aşamada bir yazılım güvenlik açığının olayda rol oynayıp oynamadığı kesinleşmiş değil.

Şirket, uygulanan önlemlerin ardından izlediği ortamlarda başarılı tehdit faaliyeti gözlemlemediğini bildirse de bu açıklama, doğrudan izlenemeyen müşteri ortamlarının tamamının güvenli olduğu anlamına gelmiyor.

Olay, bulut güvenliğinde yalnızca kullanıcı parolalarını korumanın yeterli olmadığını ortaya koyuyor. Uygulama kimliklerinin, erişim belirteçlerinin ve yetkilendirme mekanizmalarının da düzenli olarak denetlenmesi, özellikle birden fazla müşteriyi yöneten BT hizmet sağlayıcıları açısından kritik önem taşıyor.ak denetlenmesi, özellikle birden fazla müşteriyi yöneten BT hizmet sağlayıcıları açısından kritik önem taşıyor.

Güncel gelişmeler için SiberHavadis’i takipte kalın!