On 16 October 2026 ConnectWise reported unauthorized access to the app credentials of Cloud Backup, formerly SkyKick. It is a backup service for Microsoft 365, widely used by MSPs for their customers. With those credentials an attacker could sign in to customer environments as the app itself. Microsoft attributes the attack to Storm-0940, a group it calls China-state aligned, which used an AI agent framework called ARTEX to speed it up. Three questions matter: which outside apps hold broad rights in your Microsoft 365, would you notice misuse within hours, and what if your backup supplier is the incident? Op 16 oktober 2026 meldde ConnectWise onbevoegde toegang tot de app-inloggegevens van Cloud Backup, voorheen SkyKick. Dat is een back-updienst voor Microsoft 365 die veel MSP's voor hun klanten gebruiken. Met die gegevens kon een aanvaller als de app zelf inloggen bij klantomgevingen. Microsoft schrijft de aanval toe aan Storm-0940, een groep die volgens Microsoft aan de Chinese staat gelieerd is. De groep gebruikte het AI-agentframework ARTEX om sneller te werken. Drie vragen tellen: welke externe apps hebben brede rechten in uw Microsoft 365, zou u misbruik binnen uren zien, en wat als uw back-upleverancier zelf het incident is?
Backup, security and management tools connect to Microsoft 365 as apps. Once an administrator approves one, it keeps its rights in your tenant until someone removes them. Microsoft describes how the attacker took control of several ConnectWise apps and used the trust they already had. These sign-ins need no person at a keyboard. Microsoft's own documentation says app identities cannot perform MFA, and that its Conditional Access policies for apps do not cover third-party apps like these.
Business impact: the front door you protected with MFA was not the door that was used. An app with mail, file or admin rights can read mail and files, add new keys so it keeps access, and change roles. Microsoft reports a ConnectWise management app that gave itself Global Administrator, the highest role in Microsoft 365. If personal data was read, the GDPR requires you to report it to the Autoriteit Persoonsgegevens within 72 hours of becoming aware of it, unless it is unlikely to risk people's rights and freedoms.
Back-up-, beveiligings- en beheertools koppelen aan Microsoft 365 als apps. Zodra een beheerder er een goedkeurt, houdt die zijn rechten in uw tenant tot iemand ze intrekt. Microsoft beschrijft hoe de aanvaller meerdere ConnectWise-apps overnam en het vertrouwen gebruikte dat die apps al hadden. Voor deze aanmeldingen is geen mens achter een toetsenbord nodig. Volgens de eigen documentatie van Microsoft kunnen app-identiteiten geen MFA doen, en gelden de Conditional Access-regels voor apps niet voor apps van derden zoals deze.
Bedrijfsimpact: de voordeur die u met MFA beveiligde, was niet de deur die werd gebruikt. Een app met rechten op mail, bestanden of beheer kan mail en bestanden lezen, nieuwe sleutels toevoegen om toegang te houden, en rollen wijzigen. Microsoft meldt een ConnectWise-beheerapp die zichzelf Global Administrator maakte, de hoogste rol in Microsoft 365. Zijn er persoonsgegevens gelezen, dan verplicht de AVG u dat binnen 72 uur nadat u ervan kennis heeft gekregen te melden bij de Autoriteit Persoonsgegevens, tenzij het waarschijnlijk geen risico oplevert voor de rechten en vrijheden van personen.
AI agents try a stolen app key against thousands of tenants at once. Microsoft counted sign-in attempts to more than 2,250 tenants.AI-agents proberen een gestolen app-sleutel op duizenden tenants tegelijk. Microsoft telde inlogpogingen bij meer dan 2.250 tenants.
AI assistants and add-ons are new apps asking for broad Microsoft 365 rights. Each approval adds another key that can be stolen.AI-assistenten en uitbreidingen zijn nieuwe apps die brede rechten in Microsoft 365 vragen. Elke goedkeuring is weer een sleutel die gestolen kan worden.
AI-assisted review can rank apps by the rights they hold and flag the ones nobody has used in months.Beoordeling met AI-hulp kan apps rangschikken op hun rechten en de apps aanwijzen die al maanden niemand gebruikt.
ARTEX is an open-source penetration-testing framework. It is a set of AI agents that runs a test from first scan to taking data out, with little human input. Microsoft says Storm-0940 used it from as early as September 2026. After the ConnectWise breach, the group tried to sign in to more than 2,250 tenants. Most attempts failed. Microsoft still reports privileged, lasting access at many organisations, in several cases less than three hours after first targeting.
Business impact: a monthly access review, or a look at alerts the next morning, is too slow for this. What counts is whether someone acts on an alert about a new app key or a new admin role within the hour, also at night. If an MSP or SOC does that for you, it is worth checking that the contract says so.
ARTEX is een opensource-framework voor penetratietests. Het is een set AI-agents die een test uitvoert van de eerste scan tot het wegsluizen van data, met weinig menselijke inbreng. Volgens Microsoft gebruikte Storm-0940 het al vanaf september 2026. Na de inbraak bij ConnectWise probeerde de groep in te loggen bij meer dan 2.250 tenants. De meeste pogingen mislukten. Toch meldt Microsoft blijvende toegang met hoge rechten bij veel organisaties, in meerdere gevallen binnen drie uur na het eerste doelwit.
Bedrijfsimpact: een maandelijkse controle van toegangsrechten, of een blik op meldingen de volgende ochtend, is hiervoor te traag. Het gaat erom of iemand binnen het uur handelt op een melding over een nieuwe app-sleutel of een nieuwe beheerrol, ook 's nachts. Doet een MSP of SOC dat voor u, dan is het de moeite waard te controleren of het contract dat ook zegt.
Open-source agent frameworks put a full attack chain within reach of smaller teams. Microsoft says several groups across regions use ARTEX.Opensource-agentframeworks brengen een complete aanvalsketen binnen bereik van kleinere teams. Volgens Microsoft gebruiken meerdere groepen in verschillende regio's ARTEX.
An AI agent you run yourself also signs in as an app. It deserves the same narrow rights and logging as a supplier's app.Een AI-agent die u zelf inzet, logt ook in als app. Die verdient dezelfde beperkte rechten en logging als de app van een leverancier.
Detection that flags new app keys and role changes, and can switch an app off at once, keeps pace with agents.Detectie die nieuwe app-sleutels en rolwijzigingen signaleert, en een app direct kan uitschakelen, houdt agents bij.
ConnectWise suspended Cloud Backup, and as a precaution also SaaS Security and Cloud Management. It says existing backup archives remain encrypted, isolated and preserved, with no sign of compromise. On 23 October 2026 the service was not yet back, and ConnectWise had given no firm date. It also says Cloud Backup gives it no view into partner and customer tenants. So it cannot tell you whether yours was touched.
Business impact: for now, mail and files in Microsoft 365 may have no working backup through this service, and no restore either. If an MSP runs your IT, the questions are whether they used these tools for you, and what the review of your tenant found. Your contract decides how quickly they have to tell you.
ConnectWise legde Cloud Backup stil, en uit voorzorg ook SaaS Security en Cloud Management. Volgens ConnectWise blijven bestaande back-uparchieven versleuteld, geïsoleerd en bewaard, zonder teken van inbraak. Op 23 oktober 2026 was de dienst nog niet terug, en had ConnectWise geen vaste datum genoemd. Het bedrijf zegt ook dat Cloud Backup het geen zicht geeft op de tenants van partners en klanten. Het kan u dus niet vertellen of de uwe is geraakt.
Bedrijfsimpact: mail en bestanden in Microsoft 365 hebben via deze dienst voorlopig mogelijk geen werkende back-up, en ook geen herstel. Beheert een MSP uw IT, dan zijn de vragen of zij deze tools voor u gebruikten, en wat de controle van uw tenant opleverde. Uw contract bepaalt hoe snel zij u dat moeten laten weten.
Backup and management tools need wide rights to work. That makes their app keys the most valuable ones for an agent to steal.Back-up- en beheertools hebben brede rechten nodig om te werken. Daardoor zijn hun app-sleutels de waardevolste buit voor een agent.
While the service is down, teams may try a quick AI-written export script with broad rights. Each one is a new app to secure.Zolang de dienst plat ligt, proberen teams misschien snel een door AI geschreven exportscript met brede rechten. Elk daarvan is een nieuwe app om te beveiligen.
AI-assisted log search can check every managed tenant for the published app IDs and addresses in minutes.Logzoeken met AI-hulp kan elke beheerde tenant in minuten nagaan op de gepubliceerde app-ID's en adressen.
| Control | Addresses | In one line |
|---|---|---|
| Disable, don't delete | Trusted app (01) | Keep the affected ConnectWise apps disabled until ConnectWise gives instructions for your service. Microsoft advises against deleting them as a first step, because evidence goes with them. |
| Review by app ID | Trusted app (01) | Search sign-in and audit logs by application ID, not by name. Look for new app keys, roles, approvals and mail-forwarding rules. Microsoft's guidance: look back to at least 15 October 2026, and for app sign-ins to 1 October where logs allow. |
| Keep the evidence | Trusted app (01) | Preserve sign-in and audit logs before you remove anything, without letting that delay containment. |
| Least privilege for outside apps | Trusted app (01) | A list of every third-party app with its rights and an owner. Remove what is unused or broader than the job needs. |
| Alerts day and night | Speed (02) | A new key on an app, a new admin role or a new approval raises an alert that someone handles within the hour. |
| Plan for a paused backup | Backup (03) | Know what you would restore from if your backup service went offline today. For critical mailboxes and sites, consider a second copy. |
| MSP confirmation | Backup (03) | Your MSP confirms in writing whether these tools ran in your tenant and what their review found. |
| Maatregel | Pakt aan | In één zin |
|---|---|---|
| Uitschakelen, niet verwijderen | Vertrouwde app (01) | Laat de betrokken ConnectWise-apps uitgeschakeld tot ConnectWise instructies geeft voor uw dienst. Microsoft raadt af ze als eerste stap te verwijderen, omdat het bewijs dan meegaat. |
| Controle op app-ID | Vertrouwde app (01) | Doorzoek aanmeld- en auditlogs op applicatie-ID, niet op naam. Zoek naar nieuwe app-sleutels, rollen, goedkeuringen en doorstuurregels voor mail. Advies van Microsoft: kijk terug tot minstens 15 oktober 2026, en voor aanmeldingen van apps tot 1 oktober waar de logs dat toelaten. |
| Bewijs bewaren | Vertrouwde app (01) | Bewaar aanmeld- en auditlogs voordat u iets verwijdert, zonder dat dit het indammen vertraagt. |
| Minimale rechten voor externe apps | Vertrouwde app (01) | Een lijst van elke app van derden met zijn rechten en een eigenaar. Verwijder wat ongebruikt is of breder dan de taak vraagt. |
| Meldingen dag en nacht | Snelheid (02) | Een nieuwe sleutel op een app, een nieuwe beheerrol of een nieuwe goedkeuring geeft een melding die iemand binnen het uur oppakt. |
| Plan voor een stilgelegde back-up | Back-up (03) | Weet waaruit u herstelt als uw back-updienst vandaag offline gaat. Overweeg voor kritieke mailboxen en sites een tweede kopie. |
| Bevestiging MSP | Back-up (03) | Uw MSP bevestigt schriftelijk of deze tools in uw tenant draaiden en wat hun controle opleverde. |
High if you or your MSP used ConnectWise Cloud Backup or Cloud Management. Medium for other outside apps with broad rights.Hoog als u of uw MSP ConnectWise Cloud Backup of Cloud Management gebruikte. Gemiddeld voor andere externe apps met brede rechten.
Mail, files and admin roles in Microsoft 365, plus a backup service that is paused. It can become a notifiable incident.Mail, bestanden en beheerrollen in Microsoft 365, plus een back-updienst die stilligt. Het kan een meldplichtig incident worden.
Lower once apps are trimmed and alerts are handled within the hour. It stays medium while suppliers hold keys you cannot see.Lager zodra apps zijn beperkt en meldingen binnen het uur worden opgepakt. Het blijft gemiddeld zolang leveranciers sleutels hebben die u niet ziet.
The CISO owns the response; the Microsoft 365 owner approves apps, and vendor management handles ConnectWise and the MSP.De CISO is eigenaar van de aanpak; de eigenaar van Microsoft 365 keurt apps goed, en leveranciersbeheer volgt ConnectWise en de MSP op.
Outside apps with admin or full mail and file rights · apps unused for 90 days · minutes from a new-role alert to action · managed tenants reviewed by app ID.Externe apps met beheerrechten of volledige rechten op mail en bestanden · apps die 90 dagen ongebruikt zijn · minuten van een melding over een nieuwe rol tot actie · beheerde tenants gecontroleerd op app-ID.
“A supplier's trusted Microsoft 365 app is taken over, letting an attacker sign in without a user or MFA and gain admin rights within hours, which can lead to data theft, loss of backups and a notifiable incident.”“De vertrouwde Microsoft 365-app van een leverancier wordt overgenomen, waardoor een aanvaller zonder gebruiker of MFA inlogt en binnen uren beheerrechten krijgt, wat kan leiden tot datadiefstal, verlies van back-ups en een meldplichtig incident.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | NIS2 requires supply-chain security (Art. 21(2)(d)) and access control (Art. 21(2)(i)). In the Netherlands this runs through the Cyberbeveiligingswet, in force since 15 August 2026. | Ask which apps the supplier runs in your tenant, with which rights, and how it protects their keys. | A takeover through a supplier's app can count as a significant incident if it meets the thresholds. Early warning within 24 hours of becoming aware, incident notification within 72 hours, final report within one month. |
| DORA | DORA requires a register of all contracts for ICT services from third parties (Art. 28(3)). DORA has applied since 17 January 2025. | A backup or management service for Microsoft 365 belongs in that register. Check whether it supports a critical or important function. | Classify promptly. Initial notification within 4 hours of classifying it as major (at most 24 hours after becoming aware), intermediate report within 72 hours of the initial notification, final report within one month. |
| SOC 2 | Criterion CC9.2 covers managing the risk of vendors and business partners. | Check whether the supplier's app keys, and the cloud services behind them, are in scope or carved out. | An app takeover in scope will likely appear as an exception in the next report. |
| ISAE 3402 | The focus is financial reporting. Microsoft 365 appears only as general IT controls where it supports the financial process. | The report rarely covers a supplier's app keys. Ask for that in the contract instead. | ISAE 3402 creates no duty to notify user auditors. Expect a deviation in the next report, and ask for interim disclosure in the contract. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | NIS2 vraagt beveiliging van de toeleveringsketen (art. 21 lid 2 onder d) en toegangsbeleid (art. 21 lid 2 onder i). In Nederland loopt dit via de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026. | Vraag welke apps de leverancier in uw tenant draait, met welke rechten, en hoe hij de sleutels daarvan beschermt. | Een overname via de app van een leverancier kan als significant incident gelden als het de drempels haalt. Vroegtijdige waarschuwing binnen 24 uur na ontdekking, incidentmelding binnen 72 uur, eindverslag binnen een maand. |
| DORA | DORA vraagt een register van alle contracten voor ICT-diensten van derden (art. 28 lid 3). DORA geldt sinds 17 januari 2025. | Een back-up- of beheerdienst voor Microsoft 365 hoort in dat register. Ga na of die een kritieke of belangrijke functie ondersteunt. | Classificeer snel. Eerste melding binnen 4 uur na classificatie als ernstig (uiterlijk 24 uur na ontdekking), tussenrapport binnen 72 uur na de eerste melding, eindrapport binnen een maand. |
| SOC 2 | Criterium CC9.2 gaat over het beheersen van het risico van leveranciers en zakenpartners. | Controleer of de app-sleutels van de leverancier, en de clouddiensten erachter, binnen scope vallen of erbuiten zijn gelaten. | Een overname van een app binnen scope komt waarschijnlijk als afwijking in het volgende rapport. |
| ISAE 3402 | De focus ligt op de financiële verslaggeving. Microsoft 365 komt alleen voor als algemene IT-beheersmaatregelen waar het het financiële proces ondersteunt. | Het rapport gaat zelden over de app-sleutels van een leverancier. Vraag daar in het contract naar. | ISAE 3402 schept geen meldplicht aan de auditors van gebruikers. Verwacht een afwijking in het volgende rapport en vraag in het contract om tussentijdse melding. |
Checked against: Microsoft Threat Intelligence on Storm-0940 (21 Oct 2026), ConnectWise Cloud Backup advisory (updated 23 Oct 2026), Microsoft Learn, Conditional Access for workload identities (Mar 2026), NIS2 Art. 21 and 23, DORA Art. 28, RTS (EU) 2025/301 Art. 5, GDPR Art. 33, NCSC-NL (Aug 2026), AICPA Trust Services Criteria CC9.2 (2017, points of focus 2022) · October 2026.
Gecontroleerd tegen: Microsoft Threat Intelligence over Storm-0940 (21 okt 2026), advies ConnectWise Cloud Backup (bijgewerkt 23 okt 2026), Microsoft Learn, Conditional Access voor workload-identiteiten (mrt 2026), NIS2 art. 21 en 23, DORA art. 28, RTS (EU) 2025/301 art. 5, AVG art. 33, NCSC (aug 2026), AICPA Trust Services Criteria CC9.2 (2017, aandachtspunten 2022) · oktober 2026.