من يدخل مايكروسوفت 365 في شركتك دون كلمة مرور؟ تطبيق نسخ احتياطي مخترق استهدف أكثر من 2,250 منشأة

أي تطبيق خارجي ربطته شركتك بحساب مايكروسوفت 365، سواء للنسخ الاحتياطي أو التوقيع الإلكتروني أو إدارة البريد، يحمل مفتاحا يدخل به بريدكم وملفاتكم دون كلمة مرور ودون رمز تحقق. هذا ما استغله مهاجمون هذا الشهر: سرقوا بيانات تطبيقات ConnectWise Cloud Backup (المعروف سابقا باسم SkyKick)، واستهدفوا بها أكثر من 2,250 بيئة مايكروسوفت 365 لشركات حول العالم، ووصلوا في بعضها إلى صلاحيات المدير العام في أقل من 3 ساعات. افعل اليوم ثلاثة أشياء: اطلب من مسؤول التقنية قائمة التطبيقات المتصلة بحسابكم وصلاحياتها، وعطل ما لا تعرفه أو لا تستخدمه، وراجع من أضيف إلى دور المدير العام منذ 1 أكتوبر.

ماذا حدث بالضبط؟

بحسب تقرير مايكروسوفت الأمني المنشور في 21 أكتوبر 2026، تقف وراء الهجوم مجموعة مرتبطة بالصين تسميها مايكروسوفت Storm-0940، واستخدمت أداة اختبار اختراق مفتوحة المصدر تعمل بالذكاء الاصطناعي اسمها ARTEX. بدأت المجموعة بين 10 و14 أكتوبر بحملة تخمين كلمات مرور آلية سجلت أكثر من 151,000 محاولة دخول فاشلة على 327 حسابا في 8 منظمات، وبلغت ذروتها يوم 11 أكتوبر بنحو 2,900 محاولة في الدقيقة.

ثم جاءت الخطوة الأخطر. حصل المهاجمون على بيانات اعتماد تطبيقات ConnectWise Cloud Backup، وهي خدمة تنسخ بريد مايكروسوفت 365 وملفاته احتياطيا، وتعتمد عليها شركات كثيرة عبر مزودي خدمات تقنية الذين يديرون أنظمتها. ولأن هذه التطبيقات حصلت مسبقا على موافقة الشركات للوصول إلى بياناتها، استطاع المهاجمون الدخول بصفة التطبيق نفسه لا بصفة موظف، فلم يحتاجوا إلى كلمة مرور أحد ولا إلى رمز تحقق ثنائي. وبعد الدخول غيروا بيانات اعتماد تطبيقات، ومنحوا أنفسهم دور المدير العام (Global Administrator)، واستكشفوا البيئة عبر واجهة Microsoft Graph.

كيف تعاملت ConnectWise مع الحادثة؟

بحسب صفحة الإشعارات الرسمية في مركز الثقة لدى ConnectWise، اكتشفت الشركة المشكلة في 14 أكتوبر، وأعلنتها في 16 أكتوبر، وفي الساعة 07:00 بالتوقيت العالمي يوم 17 أكتوبر عطلت سبع هويات تطبيقات مرتبطة بالخدمة، وأوقفت Cloud Backup ومعها SaaS Security وCloud Management. وتقول الشركة إن أرشيفات النسخ الاحتياطي ما زالت مشفرة ومعزولة ولا يوجد ما يدل على اختراقها، وتستهدف بدء إعادة الخدمة للشركاء على مراحل يوم الإثنين 26 أكتوبر.

لكن في الإشعار نفسه جملة مهمة لكل صاحب منشأة: تعطيل هذه الاتصالات يمنع الدخول الجديد عبرها، لكنه لا يلغي التغييرات التي أجراها المهاجم داخل حساب شركتك من قبل. أي إن الحساب الإداري الذي أضافه المهاجم، أو التطبيق الذي غير مفاتيحه، يبقى كما هو حتى يزيله فريقك بنفسه.

لماذا يعنيك هذا وإن لم تستخدم ConnectWise؟

القصة ليست عن منتج واحد. كل حساب مايكروسوفت 365 فيه قائمة تطبيقات خارجية وافق عليها موظف أو مدير يوما ما: أداة توقيع، أو تقويم مواعيد، أو نظام نسخ احتياطي، أو إضافة ذكاء اصطناعي تقرأ البريد. بعض هذه التطبيقات يملك صلاحية على مستوى الشركة كلها، أي يقرأ بريد كل الموظفين وملفاتهم، ويبقى هذا الإذن قائما حتى بعد أن ينسى الجميع التطبيق. وإذا اخترق مزود التطبيق، فإن مفتاحه يصبح مفتاح المهاجم.

وفي الحادثة درس ثان: الشركات التي اعتمدت على Cloud Backup بقيت أكثر من أسبوع دون خدمة النسخ الاحتياطي التي تدفع لها. إذا كان مزود واحد يحمل نسختك الوحيدة ويملك في الوقت نفسه مفتاح بياناتك الحية، فقد جمعت مخاطرتين في مكان واحد.

خمس خطوات تطلبها من فريقك هذا الأسبوع

• اجرد التطبيقات المتصلة: من مركز إدارة Microsoft Entra افتح Enterprise apps ثم All applications، واستعرض الصلاحيات من تبويب Permissions كما يشرح دليل مايكروسوفت الرسمي لمراجعة صلاحيات التطبيقات. ابدأ بالتطبيقات التي تملك صلاحية على مستوى المنظمة كلها.
• عطل ولا تحذف: إن وجدت تطبيقات ConnectWise أو SkyKick فعطلها حتى تصدر الشركة تعليمات تخص خدمتك. وتنصح مايكروسوفت بالإبقاء على التطبيق معطلا بدل حذفه، حتى لا تضيع آثار التحقيق.
• راجع الأدوار الإدارية: اطلب قائمة بكل من يحمل دور المدير العام، وأي تغيير عليها منذ 1 أكتوبر. يجب أن تعرف كل اسم فيها.
• افحص السجلات: راجع سجلات الدخول والتدقيق من 1 أكتوبر على الأقل، وابحث عن دخول من العناوين 144.172.64.99 و144.172.64.60 و144.172.64.128 التي نشرتها ConnectWise. وجود أحدها لا يثبت الاختراق وحده، لكنه يستحق تحقيقا.
• أغلق الباب أمام الموافقات العشوائية: فعل سير موافقة المدير حتى لا يمنح موظف تطبيقا جديدا صلاحية على بيانات الشركة بنقرة واحدة، كما يشرح دليل مايكروسوفت لإعداد موافقة المستخدمين.

وإن قرأت مقالنا عن نسخة LiteLLM المخترقة، فالنمط واحد: المهاجم لا يكسر بابك، بل يدخل من باب مورد تثق به. ولمن يعيد التفكير في نسخه الاحتياطي، راجع دليلنا عن النسخ الاحتياطي والتعافي من الكوارث.

رأي أوريجامي

لم يحتج المهاجمون هنا إلى ثغرة في مايكروسوفت ولا إلى خداع موظف؛ استخدموا ثقة منحتها الشركات نفسها لتطبيق خارجي ثم نسيتها. ولهذا نتعامل في أوريجامي مع كل تكامل نبنيه مع مايكروسوفت 365 أو أي منصة سحابية على أنه صلاحية تحتاج إلى سبب ومالك وتاريخ مراجعة: أقل الصلاحيات التي يحتاجها التكامل، ومفاتيح تتجدد، وسجل واضح لما يفعله التطبيق باسم شركتك. وإذا أردت مراجعة التطبيقات المتصلة بحسابات شركتك أو بناء تكامل لا يملك أكثر مما يحتاج، تواصل معنا.