Атака через ConnectWise и Microsoft 365: чему бизнесу учиться на рисках OAuth-интеграций

21 октября 2026 года Microsoft опубликовала расследование атаки Storm-0940, в которой злоумышленники использовали инструменты автоматизации ARTEX и скомпрометированные учётные данные приложений ConnectWise. Независимые исследователи Expel описали связанные признаки активности и отдельно подчеркнули границы собственных наблюдений. Для бизнеса главный урок — не в названии атакующей группы, а в модели доверия к сторонним OAuth-приложениям.

Что произошло и что пока нельзя утверждать

По оценке Microsoft, Storm-0940 использовала украденные учётные данные многопользовательского приложения для попыток входа в среды клиентов Microsoft 365. В некоторых организациях наблюдались изменения учётных данных приложений и привилегий. Исследователи также сообщили об ускорении отдельных этапов атаки с помощью AI-инструмента ARTEX.

При этом попытка входа, успешная аутентификация и подтверждённая кража данных — разные события. Microsoft прямо предупреждает, что наличие затронутого приложения или даже успешного входа само по себе не доказывает доступ к данным клиента. Не следует переносить масштаб попыток на число подтверждённых взломов.

В отдельном исследовании Expel описывает наблюдения по ConnectWise и активности в Okta. Авторы осторожно разграничивают совпадение инфраструктуры и доказательство использования ARTEX в каждом эпизоде. Такой подход важен и для внутренних расследований: технические журналы должны подтверждать выводы, а не подгоняться под громкий заголовок.

Почему OAuth-интеграция становится критической точкой

Корпоративная CRM, облачное хранилище, система резервного копирования и почта часто связаны через OAuth. Администратор один раз разрешает приложению набор прав; затем интеграция может работать без интерактивного входа пользователя. Это удобно для автоматизации, но повышает ценность токенов и секретов приложения.

Если интеграция получила право читать почту, менять настройки каталога или назначать роли, последствия компрометации поставщика могут выйти далеко за пределы одной услуги. Особенно опасны разрешения, выданные «на всякий случай», и приложения, которыми давно не пользуются, но которые остались в каталоге идентичностей.

Что проверить компании с Microsoft 365

Инвентаризация сторонних приложений

Составьте список enterprise applications и service principals, их владельцев, разрешений, сроков действия секретов и фактического использования. Для проверки конкретного инцидента Microsoft рекомендует искать затронутые приложения по application ID, а не только по отображаемому названию. История старых интеграций тоже имеет значение.

Журналы и изменения привилегий

Проверьте входы сервисных принципалов, изменения секретов, назначение ролей, согласия на разрешения и подозрительные обращения к Microsoft Graph. Для инцидента ConnectWise Microsoft рекомендует анализировать события как минимум с 15 октября, а при наличии журналов — расширять период до 1 октября 2026 года.

Не удаляйте приложение импульсивно: сначала сохраните необходимые доказательства и следуйте актуальным указаниям поставщика по изоляции и восстановлению. Необоснованное удаление может затруднить расследование или нарушить рабочие процессы.

Контроль после отзыва доступа

Отключение одной скомпрометированной связи не гарантирует, что в среде не осталось добавленных злоумышленником ключей, владельцев или назначений. Поэтому проверка должна охватывать связанные изменения в каталоге, а при подтверждённом злоупотреблении — отзыв лишних разрешений и ротацию секретов с сохранением журнала действий.

Как безопаснее заказывать интеграции CRM и SaaS

Для новой интеграции требуйте схему потоков данных: какая система обращается к какой, от чьего имени и какие поля передаёт. Разделяйте доступ на чтение и запись, не выдавайте глобальные административные права для синхронизации контактов. Там, где возможно, используйте отдельные сервисные идентичности с минимальным набором разрешений.

Важны также управляемая ротация секретов, короткоживущие токены, журнал вызовов API, контроль необычной активности и возможность экстренно отключить интеграцию без остановки всего бизнеса. Для многоклиентского SaaS полезно отдельно оценивать границы арендаторов: один компрометированный секрет не должен открывать доступ ко всем клиентским организациям.

Четыре вопроса перед запуском

1. Какие конкретно OAuth-разрешения нужны для бизнес-функции и почему?
2. Кто владелец интеграции и как быстро он может отозвать доступ?
3. Какие журналы позволят установить, какие данные реально запрашивались?
4. Как восстановить работу после ротации ключей без потери заявок и заказов?

Практический вывод

История ConnectWise показывает, что безопасность интеграции определяется не только кодом API, но и жизненным циклом доверия: выдачей прав, наблюдением, отзывом и расследованием. Компаниям, которые внедряют CRM, корпоративные порталы и автоматизацию, стоит включать эти требования в техническое задание до начала разработки.

AVEXIUM проектирует CRM-интеграции и корпоративные веб-системы. При оценке проекта можно отдельно разобрать архитектуру OAuth-доступов, точки хранения секретов и сценарии аварийного отключения. Это помогает избежать ситуации, когда автоматизация работает быстро, но никто не может объяснить, кто и к каким данным имеет доступ.

Материал подготовлен 24 октября 2026 года по исследованиям, опубликованным 21–23 октября. Указанные рекомендации — общий ориентир; выводы по конкретной организации требуют проверки её журналов и конфигурации.