ConnectWise 旗下面向託管服務供應商（MSP）的 Cloud Backup（前稱 SkyKick）因應用程式身分遭未授權存取，已主動暫停 Cloud Backup、SaaS Security 與 Cloud Management 三項服務；排程備份、封存存取與還原暫時不可用。資安公司 Huntress 確認，相關 Microsoft 365 憑證（API 秘密）遭濫用，並在其監控範圍內確認一百六十二個租戶出現未授權登入。ConnectWise 官方 Trust Center 於十月十九日（世界協調時 01:15）更新指遏制措施仍生效，暫無確定恢復時間；來源真實性已驗證。

事件凸顯「廠商服務主體／應用程式身分」一旦被盜用，可橫跨多家客戶的 Entra ID 租戶擴散，對依賴 MSP 備份與雲端管理工具的香港企業與 IT 外判團隊具直接營運與合規含義。

ConnectWise／官方・Huntress：Cloud Backup（前 SkyKick）應用身分遭濫用——暫停備份、SaaS 保安與雲端管理；Huntress 確認逾百 M365 租戶未授權登入

ConnectWise 是服務託管服務供應商（MSP）的主要平台供應商之一，其 Cloud Backup（前稱 SkyKick）為合作夥伴提供 Microsoft 365、Google Workspace 等雲端與地端資料的備份與還原。二零二六年十月十五日起，資安業界陸續觀察到與 SkyKick／ConnectWise 相關的異常活動；十月十六日，ConnectWise 於 Trust Center 發布通告，指於 Cloud Backup 環境內發現針對應用程式身分（application identities）的未授權存取，並啟動服務中斷與調查。同日，Huntress 公開確認 ConnectWise Cloud Backup 的 Microsoft 365 憑證（API 秘密）已遭破壞，並被用於未授權進入客戶 M365 環境。

本文交叉核對 ConnectWise 官方通告與技術調查指引、Huntress 調查文章，以及科技專業媒體 The Register 於十月十九日的報道（來源真實性已驗證），整理機制、技術含義、香港應用角度與專業評估，供企業資安與 MSP 決策參考。

一、核心事件：供應鏈式「應用身分」濫用與主動停服

技術細節

根據 ConnectWise 通告，公司於十月十五日識別 Cloud Backup 環境內應用程式身分遭未授權存取，並於十月十六日（世界協調時約 17:47）發布公開通告；其後因 SaaS Security、Cloud Management 與 Cloud Backup 整合，亦「出於謹慎」一併暫停該兩項服務。合作夥伴與終端用戶在中斷期間無法執行排程備份、存取封存或還原；SaaS Security 監控告警，以及 Cloud Management 的用戶與授權管理同樣停用。

ConnectWise 表示，現有備份封存仍加密、隔離並保留，至今未見封存本身遭未授權存取的跡象；惟服務何時恢復，截至十月十九日（世界協調時 01:15）更新仍無確定時間表。公司稱已撤銷受影響連線所用憑證、停用相關應用程式身分，並引入第三方事故應變專家協助調查與驗證後再考慮安全恢復。

Huntress 則從客戶租戶側提出更尖銳的觀察：其有高度把握，威脅行為者濫用 ConnectWise Cloud Management 相關應用（涵蓋 Exchange Online、Microsoft Teams、SharePoint Online、Cloud Backup、Microsoft Graph 與 Partner Center 等）。在一個 Huntress 合作夥伴租戶中，應用「Cloud Management - MS Teams」（應用程式識別碼 24205314-2b89-4e07-a2a4-579e898a5640）曾自行取得「全域管理員」（Global Administrator），並向該租戶內另外兩個應用程式新增憑證，其中一個是該合作夥伴專屬的 Huntress 應用。Huntress 並指出，僅停用 M365 應用並不足以清除已寫入的憑證，必須逐一審查所有應用程式憑證；在恢復前不應重新啟用受影響 ConnectWise 應用。

Huntress 於十月十六日確認，其監控範圍內有一百六十二個租戶出現未授權登入；另稱與未授權活動相關的 IP（公開通報為 144.172.64.128 等）在近一千個 Entra 租戶留下登入紀錄，其中逾三百次成功——惟部分租戶因沒有對應服務主體（service principal）而未能被進一步利用。另有第二波較針對性的嘗試，未成功擊中十六個屬政策、國家安全、貿易與關鍵礦產等領域、且多數並未使用 ConnectWise 產品的 Huntress 受護租戶。

ConnectWise 於十月十七日世界協調時 07:00 停用七個應用程式身分（客戶仍須在各自租戶核對本地企業應用設定），官方列出的識別碼包括：Cloud Backup（506e08f9-6e9a-4da4-942b-a099a03644ae）、Cloud Management、Cloud Management - MS Teams、Exchange Online、MS Graph、Partner Center 與 SharePoint Online。通告提醒舊安裝可能仍顯示 SkyKick 名稱，應以應用程式識別碼而非顯示名稱比對，並保留證據、優先遏制，勿一開始就刪除應用以致破壞取證。

二、技術原理深度解析

此事件的核心不是「傳統帳密釣魚單一用戶」，而是 OAuth／Entra 應用程式身分與服務主體 的供應鏈風險。MSP 備份與雲管工具為了代表客戶讀寫信箱、檔案與目錄，通常會在客戶租戶註冊多租戶應用（或多個應用身分），並以憑證或用戶端密碼取得 Graph／Exchange 等 API 權限。一旦廠商側共享憑證或應用身分被盜，攻擊者可在仍持有有效令牌或可換發新令牌的窗口內，跨越多家客戶租戶執行動作——包括提權角色、為其他應用寫入新憑證以建立持久化。

ConnectWise 採取的遏制手法是在廠商側撤銷憑證並停用應用身分，切斷新的驗證路徑；但客戶租戶內若已寫入額外憑證或角色變更，必須由客戶／MSP 按指引在 Entra 企業應用、稽核日誌、登入紀錄與 Purview 稽核中自行清查。這正是「廠商遏制 ≠ 租戶已乾淨」的典型邊界：官方通告亦明確區分「廠商動作」與「客戶租戶本地設定」為兩套控制。

對依賴 MSP 工具的企業而言，權限最小化、條件式存取、定期審查企業應用與服務主體憑證、以及對高權限角色變更啟用 Privileged Identity Management（PIM）告警，成為降低同類爆炸半徑的實務防線。

四、日常應用場景

1. 開發者與技術團隊

若團隊以自動化方式為客戶部署備份或雲管整合，應盤點所有第三方應用程式識別碼、憑證生命週期與輪替政策；對 Graph／Exchange 高權限範圍採最小授權，並把「服務主體自行提權」納入偵測規則。事故期間優先按官方指引停用（而非刪除）受影響應用，匯出稽核與登入紀錄存證。

2. 企業與隱私敏感行業

金融、專業服務、醫療與受監管行業若經 MSP 託管 M365，應立即向供應商確認是否使用 Cloud Backup／前 SkyKick 或相關 Cloud Management 應用，並要求出示租戶側清查結果。備份停服期間需啟動替代備份或延遲變更窗口，同時評估資料外洩通報義務是否觸發。

3. 一般用戶

終端員工通常不會直接操作 SkyKick 主控台，但仍可能受還原延誤、信箱或檔案異常存取影響。應配合 IT 完成強制重新驗證、異常登入檢查，並對突如其來的管理員權限變更保持警覺。

4. 香港與亞洲市場視角

香港大量中小企依賴 MSP／IT 外判管理 Microsoft 365。本次停服直接影響備份恢復能力；若企業同時受《個人資料（私隱）條例》或客戶合約的資安條款約束，應保留通告時間線、租戶清查紀錄與供應商書面更新，作為盡職證明。亞太區 MSP 生態與 ConnectWise／SkyKick 歷史整合深厚，類似「共享應用身分」架構並非孤例——評估任何雲端備份或 RMM／雲管供應商時，應把廠商側身分安全與客戶側可觀測性一併寫進採購與持續監控要求。

五、專業評價與潛在考量

優勢

ConnectWise 選擇公開通告、主動停服與發布技術調查指引，並持續以 Trust Center 更新，有助 MSP 統一行動。
Huntress 等第三方公開租戶側取證細節（包括提權與二次寫入憑證手法），補足「僅看廠商聲明」的盲點。
官方強調封存仍加密隔離，有助區分「服務連線被濫用」與「備份檔本身被竊」兩類風險。

需要留意的地方

恢復時間未定，備份與還原空窗本身已是營運風險。
廠商停用應用並不自動清除租戶內已植入憑證；清查成本落在 MSP 與客戶。
近千個租戶出現相關 IP 登入紀錄、逾三百次成功，顯示影響面可能大於單一產品用戶群；第二波對「非 ConnectWise 客戶」的嘗試亦提醒：被盜憑證可被用來對更廣目標探測。
報道與調查仍在演進，數字與指標物（IOC）以官方最新通告為準，勿只依賴轉載摘要。

結語

ConnectWise Cloud Backup（前 SkyKick）事件，是二零二六年 MSP 供應鏈與 Microsoft 365 應用程式身分風險的最新實例：共享廠商憑證一旦失守，可迅速變成跨租戶提權與持久化問題，而「停服遏制」與「租戶清場」必須並行。對香港企業而言，此刻重點是確認自身或 MSP 是否受影響、完成 Entra 應用與憑證審查，並補齊備份空窗的應變方案。

若貴司需要強化雲端遷移、身分與零信任防護，或檢視 MSP／備份供應鏈的安全架構，可參考 YSK Limited 的雲端遷移與網絡安全服務（官網刊 99.99% SLA）：https://ysk.hk/services/cloud-security 。

參考來源

ConnectWise Trust Center Advisories — Cloud Backup (formerly SkyKick) Service Interruption（2026-10-16 起；2026-10-19 01:15 UTC 更新）：https://www.connectwise.com/company/trust/advisories
ConnectWise Cloud Backup technical investigation and remediation guide（PDF）：https://www.connectwise.com/contentassets/10777cd3364d440c86ed5270a94a5f24/connectwise-cloud-backup-technical-investigation-and-remediation-guide-1.pdf
Huntress — ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks（2026-10-16）：https://www.huntress.com/blog/vendor-credential-enables-unauthorized-access
The Register — ConnectWise turns off its SaaS-y backup, security, and management services to probe security SNAFU（2026-10-19）：https://www.theregister.com/security/2026/10/19/connectwise_turns_off_its_saas_y_backup_security_and_management_services_to_probe_security_snafu/5303758
BleepingComputer — Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack：https://www.bleepingcomputer.com/news/security/hackers-breach-microsoft-365-tenants-via-connectwise-supply-chain-attack/