# ConnectWise legt clouddiensten stil na aanval op Microsoft 365-koppelingen Klanten kunnen tijdelijk geen reservekopieën maken of terugzetten. Onderzoekers melden misbruik van de vertrouwde verbinding met hun Microsoft-omgeving. - Canonieke URL: https://nxtnews.nl/artikel/connectwise-legt-clouddiensten-stil-na-aanval-op-microsoft-365-koppelingen - Gepubliceerd: 2026-10-18T07:30:30Z - Rubriek: Tech - Uitgever: Nxt Door Annemiek ter Haar ![Papiercollage van een medewerker met laptop en een onderbroken verbinding naar een archiefdoos.](https://nxtnews.nl/web/images/nxt-eaecc29c9a3762a404c1.jpg) AI-illustratie · Nxt Generation News · Geen foto van de beschreven gebeurtenis. Klanten van ConnectWise kunnen tijdelijk geen nieuwe reservekopieën van hun Microsoft 365-gegevens maken of bestaande kopieën terugzetten. Het bedrijf heeft Cloud Backup stilgelegd na een aanval via vertrouwde appkoppelingen. Volgens de update van zondag 18 oktober zijn ook SaaS Security en Cloud Management uit voorzorg offline: beveiligingsmeldingen en gebruikers- en licentiebeheer via die diensten vallen eveneens weg. Nieuwe of gewijzigde bestanden komen daardoor niet in de geplande reservekopieën terecht. Bronnen bij deze passage: [1. ConnectWise](https://www.connectwise.com/company/trust/advisories) De koppeling voor Cloud Backup, voorheen SkyKick, kon volgens beveiligingsbedrijf Todyl bij e-mail, bijlagen, bestanden in OneDrive en SharePoint en gesprekken in Teams. De toegangsrechten omvatten zowel lezen als schrijven. Daardoor kon een aanvaller in beginsel bij veel meer informatie dan één gestolen mailbox. Voor werknemers gaat het om hun dagelijkse werkcorrespondentie en gedeelde documenten; daarin kunnen ook gegevens van klanten staan. Welke bestanden daadwerkelijk zijn ingezien, is nog niet vastgesteld. Ook bij organisaties zonder actief back-upabonnement zag Todyl nog toegestane koppelingen. Bronnen bij deze passage: [3. Todyl](https://www.todyl.com/blog/investigation-unauthorized-access-through-the-connectwise-cloud-backup-microsoft-365-app) Huntress meldde zaterdagavond inlogactiviteit vanaf een verdacht internetadres bij bijna duizend afzonderlijke Microsoft-omgevingen van organisaties. Het bedrijf rapporteert ruim driehonderd geslaagde aanmeldingen. Die aantallen zijn geen telling van bewezen gegevensdiefstal: Huntress beschrijft ook situaties waarin een aanmelding slaagde, maar een ontbrekende lokale appkoppeling verdere toegang verhinderde. Het gaat om de omgevingen die het bedrijf kon onderzoeken, niet om een volledig wereldwijd overzicht. Een uitsplitsing voor Nederland en België ontbreekt in de geraadpleegde incidentmeldingen. Wie Microsoft 365 gebruikt, is dus niet automatisch getroffen. Relevant is of de organisatie een betrokken ConnectWise-koppeling had. Huntress vond bovendien bij één partneromgeving dat een andere ConnectWise-app zichzelf beheerdersrechten gaf en nieuwe toegangsmiddelen toevoegde aan twee andere apps. Dat maakt onderzoek naar achtergebleven toegang nodig, ook nadat de oorspronkelijke verbinding is afgesloten. Bronnen bij deze passage: [2. Huntress](https://www.huntress.com/blog/vendor-credential-enables-unauthorized-access) ## Een eigen ingang voor de back-up ![Papiercollage met een gesloten deur voor een gebruiker en een afzonderlijke appdeur naar dezelfde documenten.](https://nxtnews.nl/web/images/connectwise-apptoegang-20261018.jpg) Illustratie · Nxt Generation News. AI-illustratie: een app kan een eigen toegang tot gegevens hebben, los van de aanmelding van een medewerker. De deuren zijn een visuele vergelijking. Zo’n achtergrondapp werkt anders dan iemand die zelf inlogt. Microsoft onderscheidt in zijn documentatie apps die namens een ingelogde gebruiker handelen en apps met een eigen identiteit. Die tweede vorm is juist bedoeld voor automatische taken zoals reservekopieën maken. Een medewerker hoeft daarvoor niet telkens zijn laptop open te houden of opnieuw toestemming te geven. De app bewijst zelf wie zij is en gebruikt de rechten die zij eerder heeft gekregen. Bij toegang namens een gebruiker tellen ook diens persoonlijke rechten mee; bij zelfstandige toegang zijn de rechten van de app bepalend. Dat praktische verschil verklaart waarom een dienst voor een hele organisatie kan werken terwijl de individuele medewerkers zijn uitgelogd. Bronnen bij deze passage: [5. Microsoft Source](https://learn.microsoft.com/en-us/graph/auth/auth-concepts) Todyl zag in de door het bedrijf onderzochte omgevingen geen nieuwe accounts of gewijzigde rechten door de back-upapp. Bij actieve back-upklanten waren leeshandelingen bovendien moeilijk aan de normale dienst of de aanvaller toe te schrijven: beide gebruikten dezelfde app-identiteit. Een extra inlogcode voor medewerkers hield deze zelfstandige app-toegang niet tegen. Ook het beëindigen van gebruikerssessies sluit zo’n verbinding volgens Todyl niet af. Bronnen bij deze passage: [3. Todyl](https://www.todyl.com/blog/investigation-unauthorized-access-through-the-connectwise-cloud-backup-microsoft-365-app) ## Onderzoek naar blijvende toegang Ook Microsoft Threat Intelligence bevestigt de aanval. Het team zag op 15 oktober op grote schaal geslaagde aanmeldingen als app. Volgens Microsoft misbruikten de aanvallers waarschijnlijk rechten die klanten eerder aan de vertrouwde toepassing hadden gegeven. Daarna volgden verkenning van de omgeving en pogingen om extra toegangsmiddelen toe te voegen. Daarmee zouden aanvallers een eigen achterdeur kunnen behouden. Het onderzoek draait dus ook om wijzigingen binnen de omgeving van de klant, naast de eerste gestolen toegang. Microsoft noemt verdachte app-aanmeldingen en gewijzigde app-inloggegevens als afzonderlijke signalen voor beveiligingsteams. De leverancier vormt hier de ingang naar meerdere organisaties die dezelfde toepassing vertrouwden. Dat is het kenmerk van een aanval via de toeleveringsketen: de bestaande zakelijke verbinding wordt gebruikt om klanten te bereiken. Bronnen bij deze passage: [4. Microsoft Threat Intelligence](https://www.linkedin.com/posts/microsoft-threat-intelligence-is-tracking-share-7517121354568028160-zoMA) Volgens ConnectWise zijn de bestaande back-uparchieven versleuteld en bewaard; het bedrijf heeft geen bewijs dat die archieven zijn ingezien. Het noemt nog geen tijdstip waarop back-ups en herstel weer beschikbaar komen. Bronnen bij deze passage: [1. ConnectWise](https://www.connectwise.com/company/trust/advisories) ## Bronnen - [1. ConnectWise](https://www.connectwise.com/company/trust/advisories) - [2. Huntress](https://www.huntress.com/blog/vendor-credential-enables-unauthorized-access) - [3. Todyl](https://www.todyl.com/blog/investigation-unauthorized-access-through-the-connectwise-cloud-backup-microsoft-365-app) - [4. Microsoft Threat Intelligence](https://www.linkedin.com/posts/microsoft-threat-intelligence-is-tracking-share-7517121354568028160-zoMA) - [5. Microsoft Source](https://learn.microsoft.com/en-us/graph/auth/auth-concepts) [Bronnen en werkwijze](https://nxtnews.nl/bronnen#werkwijze)