ConnectWise'ın Microsoft 365 kiracılarına bağlanmak için kullandığı uygulama kimlik bilgisi ele geçirildi; yüzlerce kiracıda yetkisiz oturum açıldı ve Cloud Backup hizmeti askıya alındı. Olay, kullanıcı parolasından çok uygulama izinlerinin denetlenmesi gerektiğini gösteriyor.
Bulut yedekleme ve uzaktan yönetim yazılımlarıyla tanınan ConnectWise, 14 Ekim 2026'da tespit ettiği bir güvenlik olayının ardından Cloud Backup, SaaS Security ve Cloud Management hizmetlerini askıya aldı. Olayın merkezinde bir yazılım açığı değil, şirketin müşterilerinin Microsoft 365 ortamlarına bağlanmak için kullandığı bir uygulama kimlik bilgisinin ele geçirilmesi var.
Olayda ne yaşandı?
The Hacker News'in aktardığına göre saldırganlar, ele geçirdikleri kimlik bilgisiyle Microsoft Graph erişim jetonları üretip müşteri kiracılarında oturum açtı. Güvenlik firması Huntress, kötü amaçlı IP adresinden yaklaşık 1.000 Entra kiracısında oturum açma hareketi gördüğünü, bunların 300'ünün başarılı olduğunu bildirdi. Field Effect ise 160'tan fazla kiracıda yetkisiz oturum açma tespit edildiğini duyurdu. ConnectWise 17 Ekim 07:00 UTC itibarıyla yedi uygulama kimliğini devre dışı bıraktı: biri Cloud Backup, altısı Cloud Management (Teams, Exchange Online, Graph, Partner Center, SharePoint Online) uygulamalarıydı.
Field Effect'in raporuna göre en az bir kiracıda uygulamalardan biri kendisine Global Administrator rolünü atadı ve başka güvenilir uygulamalara yeni kimlik bilgileri ekledi. Bu, ilk kimlik bilgisi iptal edilse bile erişimin sürdürülebileceği anlamına geliyor. ConnectWise, yedek arşivlerine erişildiğine dair bir bulgu olmadığını, arşivlerin şifreli ve izole kaldığını açıkladı. İnceleme sürüyor.
Bu olay neden önemli?
Çoğu kurum Microsoft 365 güvenliğini kullanıcı parolası ve çok faktörlü doğrulama üzerinden düşünür. Oysa buradaki erişim bir kullanıcı hesabı üzerinden değil, kiracıya bir kez onay verilmiş bir uygulama kimliği (service principal) üzerinden gerçekleşti. Bu kimlikler MFA istemez, mesai saatine bakmaz ve çoğu zaman kurulduğu günden sonra bir daha gözden geçirilmez. Field Effect, söz konusu uygulamanın Directory.ReadWrite.All gibi yüksek yetkilere sahip olduğunu belirtiyor.
Kısacası bir kurumun kendi parola politikası kusursuz olsa bile, yıllar önce onay verilmiş bir tedarikçi uygulaması aynı kapıyı açık tutabiliyor.
Türkiye'deki KOBİ'ler için karşılığı
Microsoft 365 kullanan KOBİ'lerin büyük bölümünde yedekleme, e-posta imzası, CRM entegrasyonu, raporlama veya güvenlik taraması amacıyla eklenmiş üçüncü taraf uygulamalar bulunuyor. Her biri, kurulduğu anda verilen izinlerle e-postaya, SharePoint içeriğine ve dizin verisine erişebiliyor.
KVKK açısından da dikkat gerektiren bir konu: 6698 sayılı Kanun kapsamında veri sorumlusu, işleme faaliyetinin bir bölümünü tedarikçiye devretse bile teknik ve idari tedbirleri almakla yükümlü olmaya devam ediyor. Tedarikçi kaynaklı bir erişim, ihlal bildirimi yükümlülüğünü ortadan kaldırmıyor.
Kamer Bilişim olarak ne öneriyoruz?
- Uygulama envanterinizi çıkarın. Microsoft 365 yönetim merkezinde "Kurumsal uygulamalar" listesini açın; her uygulamanın kim tarafından, ne zaman ve hangi izinlerle onaylandığını kayıt altına alın. Tanımadığınız veya artık kullanmadığınız uygulamaların onayını kaldırın.
- Kullanıcı onayını kapatın, Koşullu Erişimi uygulama kimliklerine genişletin. Son kullanıcıların kendi başına uygulamaya izin vermesini engelleyip yönetici onayı iş akışına geçin; uygulama kimlikleri için de konum ve risk temelli Koşullu Erişim politikası tanımlayın.
- Yedeği tedarikçiden bağımsız tutun. Microsoft 365 verinizin en az bir kopyası, bulut yedekleme sağlayıcınızın kimlik altyapısından ayrı bir yerde ve değiştirilemez (immutable) biçimde dursun. Geri dönüş testini en az üç ayda bir yapın.
Microsoft 365 ortamınızdaki uygulama izinlerini gözden geçirmek, yetki envanteri çıkarmak veya yedekleme mimarinizi tek bir tedarikçiye bağımlı olmaktan çıkarmak istiyorsanız iletişim sayfamızdan bize ulaşabilirsiniz. İstanbul Anadolu Yakası'ndaki ofislerde yerinde, diğer lokasyonlarda uzaktan destek veriyoruz.
Kaynak: The Hacker News, Field Effect
Kaynak: The Hacker News