ConnectWise云备份遭入侵，人工智能助黑客攻击约2250家机构

微软安全研究人员披露，ConnectWise云备份服务遭黑客入侵，约2250家机构遭到侵入。

攻击者窃取应用凭据，冒充授权用户进入客户在微软云上的环境，读取邮件和其他文件。

ConnectWise已暂停该服务访问并展开调查，周四表示正在恢复。微软把攻击归因于中国国家支持的黑客组织，相关技术细节仍在披露中。

ConnectWise的主业是远程管理、自动化运维与云备份工具，客户包括企业信息技术团队和托管服务商。云备份服务保存客户数据，也承担连接客户云环境的身份通道。

微软的说明指向一个关键环节：攻击者没有直接猜密码，而是偷走用于建立数据链路的应用凭据。拿到凭据后，登录动作在系统看来与正常应用调用无异。

这类凭据通常权限高、有效期长，一旦离开原系统，很难靠单次密码重置彻底清除。企业需要确认泄露范围，轮换密钥，并检查邮箱、文件与日志。

微软称，攻击者使用人工智能代理批量尝试登录，速度接近每分钟3000次。自动化把攻击规模推高，也压缩了防守方发现和响应的时间窗口。

一款名为ARTEX的开源人工智能框架可与模型配合，对网络防御做压力测试。同样的软件此前出现在韩国金融系统遭入侵事件中，部分系统安全薄弱、缺少多因素认证。

防守方单靠验证码或封IP已不够。更现实的做法是把多因素认证、条件访问、登录频率限制和异常行为检测叠在一起，尤其要盯住服务账号。

ConnectWise的客户中有大量托管服务商（MSP），它们替中小企业运维系统。上游平台的一次凭据泄露，可能沿MSP链条向下复制，变成成百上千个客户侧的安全事件。

2024年，ConnectWise的ScreenConnect远程支持工具曾曝出高危漏洞并被大规模利用，大量MSP紧急修补。那次事件已说明，信息技术管理软件位于企业信任链的上游。

这次云备份服务遭入侵后，受影响企业要查的不只是ConnectWise账户，还包括与微软云环境相连的应用注册、密钥、邮箱规则和文件访问记录。

托管服务商也需要重新评估供应商风险：哪些客户共用同一套凭据，哪些备份链路缺少隔离，出事时能否快速切断并通知客户。

微软将事件归因于中国国家支持的黑客组织，这是当前公开信息中最明确的一方判断。后续仍需更多技术细节与独立机构交叉验证，才能看清攻击链全貌。

约2250家被波及的机构即使等到服务恢复，风险也未解除。泄露的凭据是否被二次利用、被访问的邮件和文件范围多大，都需要逐一排查。

这起事件把人工智能时代攻防的速度差摆上台面：攻击者用自动化放大尝试次数，防守方却常被日志、告警和人力拖住。云服务越集中，凭据管理越不能停留在“默认信任”。