في هذه المقالة
قبل أن تبدأ
- وجود التكامل يعني احتمال تعرض يحتاج مراجعة، وليس إثبات سرقة بيانات.
- راجع هويات التطبيقات ونشاطها، بما فيها الاتصالات القديمة غير المستخدمة.
- إيقاف الاتصال الأصلي لا يعالج تلقائيًا كل تغيير غير مصرّح قد نتج عنه.
ماذا أعلن المزوّد؟
تقول ConnectWise إنها اكتشفت نشاط وصول غير مخوّل مرتبطًا بـ Cloud Backup في 14 أكتوبر 2026 وبدأت الاستجابة. وتفصل تحديثاتها بين التحقيق وبين إثبات الوصول إلى بيانات النسخ الاحتياطية. ارجع لإشعارات Trust Center الحالية لحالة الخدمة وتعليمات الاستعادة؛ مقالة مؤرخة لا تمنح تصريحًا بإعادة ربط تكامل متأثر.
ConnectWise — Cloud Backup incident advisoriesماذا رصدت Microsoft؟
يصف تحليل Microsoft في 21 أكتوبر استخدام اعتمادات تطبيقات مسروقة للدخول إلى بيئات عملاء، وتنفيذ عمليات على Graph والدليل في بعض الحالات، مع أتمتة بمساعدة ARTEX. ويفصل ذلك عن حملة سابقة لتخمين كلمات المرور لم تُرصد فيها مصادقة ناجحة. المحاولات والدخول الناجح وتغيير الإعدادات والوصول إلى البيانات أدلة مختلفة؛ لا يصح جمعها في رقم واحد للاختراقات.
Microsoft Threat Intelligence — ARTEX and ConnectWise campaign, 21 October 2026لماذا لا يكفي تغيير كلمة المرور؟
توضح وثائق Microsoft أن هوية التطبيق يمكن أن تستخدم شهادة أو سرًا للمصادقة دون مستخدم. لذلك لا تغطي مراجعة دخول الموظفين وحدها هذا المسار. نقترح سجلًا مستقلًا لوصول التطبيقات بجانب سجل الموظفين، يحدد لكل تكامل مسؤول عمل يشرح حاجته إلى الصلاحيات ومسؤولًا تقنيًا يعرف كيف يوقفه بأمان.
Microsoft Learn — Service principal sign-in logsحدّد التطبيق الصحيح في كل بيئة
يشمل دليل المزوّد هويات ConnectWise وأسماء SkyKick السابقة، ويوجه لمطابقة Application ID وحفظ الأدلة والتحقق من الإعداد المحلي لكل بيئة. إجراء المزوّد لا يساوي تغييرًا داخل بيئة العميل. استخدم القائمة الرسمية الحالية، لا الاسم الظاهر أو معرّفًا مختصرًا من منشور. راجع الاتصالات القديمة أيضًا.
ConnectWise — Technical investigation and remediation guide, 18 October 2026أنشئ سجل مراجعة يمكن تسليمه
نقترح ورقة مختصرة تمنع الاعتماد على ذاكرة مسؤول واحد. ابدأ بالتكاملات التي تصل إلى بريد العملاء أو المستندات أو الفوترة أو الإدارة الحساسة. إذا كانت شركة تقنية خارجية تجري المراجعة، اطلب نتيجة خاصة ببيئتك تبين الأدلة المتاحة والفجوات، بدل عبارة عامة بأن الجميع بخير.
- البيئة وApplication ID وObject ID المحلي والمزوّد ومسؤول العمل.
- حالة التفعيل والصلاحيات الممنوحة والحاجة الفعلية إليها.
- مصادر السجلات والفترة الزمنية التي يغطيها كل مصدر.
- الأحداث المرصودة ومن تحقق منها والإجراء المتخذ.
- الأسئلة المفتوحة وشروط إعادة التشغيل وموعد المراجعة القادمة.
تتبع ما بعد المصادقة
الدخول بداية للتحقيق، وليس استنتاجًا بشأن البريد والملفات. اطلب فصل حدث الهوية عن العملية التي تلته. إضافة اعتماد غير مفسرة تختلف عن محاولة دخول فاشلة. يغطي دليل Microsoft للتطبيقات المخترقة احتواء التطبيق ومعالجة الموارد التي يستطيع الوصول إليها. احفظ الإعدادات والأدلة قبل التغييرات غير القابلة للتراجع، مع تمكين مسؤول الاستجابة من احتواء الضرر العاجل.
Microsoft Learn — Compromised applications investigation playbookقارن الصلاحية بالمهمة
تميّز إرشادات Microsoft بين الوصول المفوّض وصلاحيات التطبيق. راجع نوع الصلاحية، لا اسمها فقط. نقترح عند التعاقد طلب تفسير مكتوب للوصول الواسع إلى الدليل أو المحتوى قبل ربط مزوّد جديد، مع موعد لمراجعة الموافقة. وعند انتهاء الحاجة للتكامل، خطط لإزالته مع مالكه بدل إبقاء التصريح إلى أجل غير محدد.
Microsoft Learn — Least-privileged application accessضع شروطًا واضحة للتعافي
حدّد في خطة الاستجابة ما يلزم قبل إعادة التكامل: تعليمات استعادة من المزوّد، ومراجعة التغييرات على يد مختص مخوّل، واختبار عمل مضبوط. تحقق من مسار النسخ الاحتياطي واستعادة نموذجية باستخدام بيانات اختبار. نجاح مهمة النسخ يختلف عن استعادة بيانات قابلة للاستخدام. وثّق ما اختُبر وأين ذهبت بيانات التجربة ومن اعتمد النتيجة. غياب السجلات المحتفظ بها لا يثبت عدم حدوث وصول.
ماذا تسأل مزوّد التقنية هذا الأسبوع؟
اطلب إجابات محددة يستطيع فريق العمليات العمل بها. الأسئلة التالية موجز مراجعة مقترح، وليست ادعاء بأن بيئتك تعرضت لاختراق.
- ما التطبيقات الخارجية التي تعمل دون دخول موظف؟
- هل شملت المراجعة كل بيئات Microsoft 365 التي نملكها أو نديرها؟
- ما الصلاحيات الضرورية وما الذي يمكن تقليله؟
- ما النشاط الذي جرى التحقق منه وما حدود السجلات والنتائج؟
- من يعتمد إعادة التكامل الموقوف وما الاختبار الذي يثبت عمله؟
تحليل مستقل من PalmX، مراجع في 2 نوفمبر 2026. لم نفحص أنظمة ConnectWise أو بيئة قارئ. تستند نسبة الوقائع إلى مصادرها، والتعرض المحتمل لا يثبت اختراقًا. تغييرات البيئة مسؤولية مختصين مخوّلين. الغلاف تصوّر فني مولّد.
المصادر الرسمية
ConnectWise — Cloud Backup incident advisories
Microsoft Threat Intelligence — ARTEX and ConnectWise campaign, 21 October 2026
ConnectWise — Technical investigation and remediation guide, 18 October 2026
Microsoft Learn — Service principal sign-in logs
Microsoft Learn — Compromised applications investigation playbook