--- title: "ConnectWise bulut yedeklemelerini kapattı, MSP’lerde yayılma endişesi var" url: "https://teknotayf.com/haber/connectwise-bulut-yedeklemelerini-kapatti-msp-lerde-yayilma-endisesi-var" markdown_url: "https://teknotayf.com/haber/connectwise-bulut-yedeklemelerini-kapatti-msp-lerde-yayilma-endisesi-var.md" site: "teknotayf.com" language: "tr" published: "2026-10-19 22:19:33" updated: "2026-10-19 23:35:53" category: "Siber Güvenlik" tags: ["Siber Güvenlik","Microsoft 365","ConnectWise","Bulut Yedekleme","MSP Saldırısı"] source: "Dark Reading" --- # ConnectWise bulut yedeklemelerini kapattı, MSP’lerde yayılma endişesi var > **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/connectwise-bulut-yedeklemelerini-kapatti-msp-lerde-yayilma-endisesi-var > Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır. **Özet:** ConnectWise, Cloud Backup ürününe ait uygulama kimliklerine 14 Ekim’de yetkisiz erişim tespit ettiğini açıkladı ve 17 Ekim’de hizmeti devre dışı bıraktı. Araştırmacılar kimlik bilgilerinin kötüye kullanılarak binlerce Microsoft 365 kiracısına giriş yapıldığını öne sürerken, şirket müşteri tarafında doğrulanmış bir etki olmadığını belirtiyor. - **Yayın tarihi:** 2026-10-19 22:19 - **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik) - **Etiketler:** Siber Güvenlik, Microsoft 365, ConnectWise, Bulut Yedekleme, MSP Saldırısı - **Yazan:** TeknoTayf.com - **Kaynak:** [Dark Reading](https://www.darkreading.com/identity-access-management-security/connectwise-disables-cloud-backups-downstream-msps) ![ConnectWise bulut yedeklemelerini kapattı, MSP’lerde yayılma endişesi var](https://teknotayf.com/assets/uploads/2026/10/ccd7c24c319b587ed5d3ae8935bdeb26.jpg) Araştırmacılar, saldırganların ConnectWise kimlik bilgilerini kullanarak Microsoft 365 kiracılarına kimlik doğruladığını söylüyor; ConnectWise müşteri etkisinin doğrulanmadığını belirtiyor. Bir tehdit aktörü, birden fazla güvenlik firmasının aktardığına göre **ConnectWise Cloud Backup** ürününe ait kimlik bilgilerini kullanarak Microsoft 365 kiracılarına kimlik doğruladı; aşağı akışta oluşan zararın boyutu hâlâ belirsiz. Önce 16 Ekim’de, ardından hafta sonu boyunca ConnectWise, olası bir tedarik zinciri olayı ve ConnectWise Cloud Backup ürününe ilişkin ayrıntıları paylaştı. Daha önce SkyKick olarak bilinen yazılım satıcısı, ağırlıklı olarak yönetilen hizmet sağlayıcılarına hizmet veriyor. Şirketin açıklama durum gönderisine göre **14 Ekim**’de ConnectWise Cloud Backup’a ait uygulama kimliklerine yetkisiz erişim tespit edildi ve soruşturma sürüyor. Olayın ardından şirket 17 Ekim’de Cloud Backup’ı ortaklar ve müşteriler için devre dışı bıraktı; hafta sonu boyunca soruşturma ve iyileştirme çalışmaları devam ederken SaaS Güvenlik ve Bulut Yönetimi de kapatıldı. Yedekleme, geri yükleme, SaaS Güvenlik izleme ve Bulut Yönetimi işlevleri kullanılamıyor. ConnectWise ayrıca bir olay müdahale firması görevlendirdiğini açıkladı. Şimdiye kadar şirket, saldırı zincirinin bir parçası olarak bir güvenlik açığı istismarını doğrulamadı. Dikkatli olunması gerekiyor: ConnectWise Cloud Backup, Microsoft 365 verileri için yazılım olarak hizmet modelinde bir yedekleme ürünüdür ve bu nedenle müşteri kuruluşların 365 ve Entra ortamlarında geniş izinler vermesini gerektirir. Ürün genel olarak Exchange posta kutularına, OneDrive’a, SharePoint’e, Teams’e ve kurumsal platforma bağlı diğer hassas iş yüklerine erişebiliyor. ## ConnectWise ve araştırmacılar etki alanı konusunda ayrışıyor Olayın resmi ayrıntıları hâlâ sınırlı. Orijinal kimlik bilgisi açığa çıkma mekanizması soruşturma altında ve ConnectWise ihlali belirli bir saldırganla ilişkilendirmedi. Şirket, etkilenen uygulama bağlantıları tarafından kullanılan sertifikaları iptal ettiğini ve etkilenen paylaşılan Cloud Backup kimlik bilgilerinin artık geçerli olmadığını söyledi. Ayrıca bugüne kadar olayla ilişkilendirilen tespit edilen kimlik bilgilerini döndürdü ya da devre dışı bıraktı. Durum gönderisi müşteriler için uzlaşma göstergelerini içeriyor; şirket müşterilerden kendi Microsoft 365 kiracılarını ve her yönetilen müşteri kiracısını, kullanılmayan SkyKick bağlantıları da dahil olmak üzere incelemelerini istiyor. Bu olayın olağandışı bir yönü, ConnectWise ile üçüncü taraf araştırmacıların özellikle aşağı akış etkisi konusundaki raporları arasındaki fark. Yazının hazırlandığı sırada ConnectWise’in açıklama gönderisi aşağı akış etkisinin soruşturma altında olduğunu belirtiyor: "Doğrulanmış aşağı akış müşteri ihlali tespit etmedik." Görünürdeki kopukluk, her tarafın ihlali nasıl tanımladığından kaynaklanıyor olabilir. ConnectWise, müşteri Microsoft 365 ortamlarına bağımsız görünürlüğü olmadığını ve bu nedenle tek tek kiracılarda yetkisiz etkinlik olup olmadığını belirleyemeyeceğini tekrarladı. "Depolanmış arşivlere ilişkin bulgularımız, canlı Microsoft 365 ortamlarındaki olası etkinlikten ayrıdır," blog gönderisi diyor. "Cloud Backup, belirli bir ortak ya da müşteri kiracısında yetkisiz etkinlik olup olmadığını bağımsız olarak belirlemek için gereken aşağı akış güvenlik görünürlüğünü sağlamaz." Buna karşılık güvenlik firmaları Huntress ve Todyl, ilgili güvenlik blog gönderilerinde ConnectWise uygulamasının kimlik bilgilerini kullanarak müşteri kiracılarına başarılı kimlik doğrulamanın kendisinin, veri erişimi kanıtlanabilse de kanıtlanmasa da aşağı akış etkisi oluşturduğunu savundu. Böylece ConnectWise her iki firmanın bulgularını açıkça reddetmiyor, mesajını daha temkinli konumlandırıyor. ## Üçüncü taraf araştırmacılar aşağı akış etkisinin yaşandığını savunuyor 16 Ekim’de Huntress’tan Jonathan Semon bir blog gönderisinde ConnectWise Cloud Backup’a ait bir Microsoft 365 kimlik bilgisinin, özellikle bir API gizli anahtarının ele geçirildiğini yazdı. "Huntress, tehdit aktörünün ConnectWise Cloud Management uygulamalarını Exchange Online, Microsoft Teams ve SharePoint Online, Cloud Backup, MS Graph ve Partner Center için kötüye kullandığına yüksek güvenle sahip," diye yazdı Semon. İki dalga halinde gerçekleşen etkinlikte Semon, Huntress’ın yetkisiz etkinlikle bağlantılı IP adresinden (144.172.64.128) giriş etkinliği olan **1.000’den fazla Entra kiracısı** tespit ettiğini ve "bunların 300’ünden fazlasında giriş başarılı oldu" dedi. Semon, Dark Reading’e Huntress’ın önce birçok kuruluşta geniş taramalar gördüğünü, ardından "politika, ulusal güvenlik, ticaret ve kritik mineral sektörlerindeki kuruluşların daha küçük, görünüşe göre daha manuel bir taramasını" gördüğünü, bunun başarısız olduğunu söyledi. İki kiracıda Huntress, bir ConnectWise uygulamasının Microsoft 365 uygulamasında en üst düzey erişim olan Global Administrator yetkisi verdiğini, ardından saldırganın orijinal ConnectWise anahtarına bağlı kalmadan geri girebilmesi için diğer uygulamalar için kimlik bilgileri eklediğini gördü. "Bu yüzden kuruluşların yalnızca etkilenen uygulamaları devre dışı bırakmakla kalmayıp kimlik bilgilerini ve yönetici rollerini de gözden geçirmelerini öneriyoruz," diyor Semon. Huntress’ın temel mesajı, etkilenen ConnectWise uygulamalarının kanıtlanana kadar güvensiz kabul edilmesi ve kalıcılık aranması. Müşterilerin veri saklama ve geri yükleme seçeneklerini ConnectWise ile teyit etmesi ve kimlik bilgilerini uzlaşma belirtileri açısından manuel olarak kontrol etmesi gerekiyor. ## Genel kiracı ihlali gerçek bir endişe olarak görünüyor Huntress, kimlik bilgisinin uygulama onaylandığı her kiracıya karşı çalıştığını söyledi ve devre dışı bırakılmasını önerdi; ConnectWise etkilenen uygulamaları daha fazla duyuruya kadar devre dışı bıraktı. Todyl ise müşterilerden ihlali varsaymalarını açıkça istedi. "Microsoft Entra uygulama kimliği **506e08f9-6e9a-4da4-942b-a099a03644ae** [daha önce SkyKick Backup olarak bilinen ConnectWise Cloud Backup uygulaması için] etkin olan TÜM kiracıların ihlal edildiğini varsayabiliriz," diye yazdı Nicholas Koken. Todyl’den bir sözcü, Dark Reading’e bu olayın en endişe verici yönünün "aktörün SkyKick ortak kiracılarına katı kiracı kimliği sırasına göre eriştiği, uygulamanın hiç kurulmadığı kiracılar da dahil" olduğu bilgisini verdi. Todyl’e göre bu çok önemli bir ayrıntı. Sözcü, "Bu, aktörün satıcı tarafı kayıtlarından muhtemelen elde edilmiş önceden hazırlanmış bir SkyKick ortak kiracı listesine sahip olduğunu gösteriyor" diye açıklıyor. "ConnectWise, ortak verilerinin, kiracı listeleri de dahil olmak üzere açığa çıkıp çıkmadığını henüz açıklamadı." Ayrıca sözcü, Todyl’in izlediği kiracılar arasında, özellikle MSP’lere yönelik olan etkinliğin keşif amaçlı göründüğünü ve çalınan kimlik bilgilerinin çalışıp çalışmadığının kontrol edildiğini değerlendiriyor. Bu sabah paylaşılan bir açıklamada ConnectWise, "Tedbirlerimizi uygulamaya koyduğumuzdan beri izlediğimiz ortamlarda başarılı tehdit etkinliği gözlemlemedik" diye yineledi. "Şu ana kadar Cloud Backup ortak yedekleme verilerinin ihlal edildiğine dair bir göstergeye sahip değiliz," diyor ConnectWise. "Tespit edilen ihlal edilmiş kimlik bilgilerini ve kimlikleri giderdik ve kimlik doğrulama izleme, izin incelemesi ve adli analiz çalışmalarına devam ediyoruz." Uygulama kimliğiyle tüm verilerin ihlal edildiğinin varsayılmasının doğru olup olmadığına bakılmaksızın, iki üçüncü taraf güvenlik firmasının genel tavsiyesi benzer: İlgili uygulamaların devre dışı olduğundan emin olun, uzlaşma göstergelerini kontrol edin ve gerekirse ConnectWise ile çalışın. Dark Reading, yorum için Microsoft’a ulaştı ancak şirket basın zamanı itibarıyla yanıt vermedi. --- **Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/connectwise-bulut-yedeklemelerini-kapatti-msp-lerde-yayilma-endisesi-var Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.