Heslo neukradli. Prihlásenie nepotrebovali. K dátam sa dostali cez zálohovanie.
Aktualizované 20.10.2026 - Vzdelávanie
Predstavte si, že máte pracovné údaje bezpečne uložené v cloude. Používate silné heslá, viacfaktorové overovanie aj pravidelné zálohovanie. Napriek tomu sa k nim dostane niekto, komu ste prístup nikdy nepovolili. Ako je to možné?
Odpoveď priniesol kybernetický incident z októbra 2026, ktorý zasiahol zákazníkov služby ConnectWise Cloud Backup, predtým známej ako SkyKick.
Útočníci nepotrebovali oklamať zamestnanca, ukradnúť heslo ani rozosielať škodlivé prílohy. Zneužili dôveru, ktorú organizácie poskytli svojmu technologickému dodávateľovi.
Keď sa záloha stane vstupnou bránou
Externé zálohovacie služby potrebujú na svoju činnosť prístup k e-mailom, dokumentom či súborom uloženým v Microsoft 365. Práve tieto oprávnenia sa stali predmetom útoku.
Výskumníci spoločnosti Huntress odhalili, že útočníci získali prihlasovací údaj aplikácie ConnectWise Cloud Backup a využili ho na neoprávnený prístup do zákazníckych prostredí Microsoft 365.
Neprihlasovali sa ako zamestnanci. Prihlasovali sa ako dôveryhodná aplikácia.
Dňa 15. októbra 2026 bola zaznamenaná podozrivá aktivita a do večera nasledujúceho dňa spoločnosť Huntress potvrdila neoprávnené prihlásenia v 162 prostrediach Microsoft 365.
Útočníci využívali existujúce oprávnenia aplikácie na získavanie prístupových tokenov prostredníctvom Microsoft Graph. V závislosti od rozsahu oprávnení tak mohli pristupovať k e-mailom, dokumentom a ďalším údajom.
V jednom zo skúmaných prostredí boli zaznamenané aj zmeny administrátorských oprávnení a pridanie nových prihlasovacích údajov k ďalším aplikáciám. Takýto postup môže útočníkom umožniť udržať si prístup aj po zneplatnení pôvodného kompromitovaného údaja.
Prečo nepomohlo ani silné heslo?
Problém tentoraz nespočíval v zabezpečení používateľských účtov.
Útočníci zneužili identitu aplikácie, ktorej organizácie už predtým povolili prístup k svojim údajom. Takéto aplikácie totiž môžu komunikovať s cloudovými službami bez toho, aby sa pri každej operácii prihlasoval konkrétny zamestnanec.
Útočník tak nemusel prekonávať ochranu používateľského účtu. Stačilo mu zneužiť oprávnenia dôveryhodnej aplikácie.
Ide o zneužitie aplikačnej identity, ktoré v tomto prípade súvisí s útokom cez dodávateľský reťazec (supply chain attack).
Čo to znamená pre verejnú správu?
Ministerstvá, úrady aj ďalšie organizácie využívajú externé služby na zálohovanie, správu dokumentov či komunikáciu. Každá z nich môže mať prístup k citlivým informáciám.
Prípad ConnectWise preto pripomína, že bezpečnosť organizácie závisí nielen od ochrany vlastných systémov, ale aj od toho, komu a v akom rozsahu umožňuje prístup k svojim údajom.
Organizácie by mali pravidelne:
- kontrolovať oprávnenia externých aplikácií a odstraňovať nepotrebné prístupy,
- monitorovať podozrivé prihlásenia a zmeny aplikačných oprávnení,
- sledovať bezpečnostné upozornenia svojich technologických dodávateľov,
- obmedzovať možnosti šírenia útoku medzi prepojenými systémami.
Spoločnosť ConnectWise po odhalení incidentu pozastavila prístup zálohovacej služby a zneplatnila dotknuté certifikáty. Podľa jej vyjadrenia neboli zistené dôkazy o prístupe útočníkov k uloženým šifrovaným zálohám.
Dôvera je dôležitá. Kontrola ešte dôležitejšia.
Tento incident neznamená, že zálohovanie je nebezpečné. Naopak, zostáva nevyhnutnou súčasťou kybernetickej odolnosti.
Ukazuje však, že aj bezpečnostné nástroje potrebujú vlastné zabezpečenie a pravidelnú kontrolu.
Pretože niekedy útočníci nemusia hľadať cestu cez zamknuté dvere. Stačí im zneužiť kľúč, ktorý už niekto dostal.
Zdroje
- Huntress – ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks, október 2026: https://www.huntress.com/blog/vendor-credential-enables-unauthorized-access
- ConnectWise – Trust Center, Security Advisories, aktualizácia 17. októbra 2026: https://www.connectwise.com/company/trust/advisories
