原文標題：ConnectWise Cloud Backup application abused in cross-tenant token sweep
Sophos 於 10 月 19 日發布調查，說明 ConnectWise Cloud Backup 相關多租戶應用程式身分被用於跨租戶權杖要求的異常活動。此類 Microsoft 365 備份服務依賴 Entra 多租戶應用程式，客戶同意授權後，服務供應商便能以應用程式身分取得讀取備份資料所需的 Microsoft Graph 權杖。
研究者在 10 月 15 日觀察到一段自 07:11 至 08:47 UTC 的掃描行為，來源 IP 為 144.172.64.128，使用 Python-urllib/3.12 與 python-requests/2.31 等 User-Agent。請求依租戶 GUID 遞增順序進行，間隔約一至六分鐘，並包含已不再使用備份訂閱、但仍保有同意授權的租戶。
Sophos 認為，這種模式高度符合自動化腳本使用遭取得的供應商應用程式憑證，而不是逐一破解使用者帳號。由於身分驗證發生在應用程式層級，攻擊者不必再向每名使用者索取密碼或 MFA 驗證碼。
ConnectWise 已公布服務中斷與調查、修復指引，並暫停相關 Cloud Backup 應用程式存取。Sophos 表示，尚不清楚憑證如何流出、取得的權杖被用於何種後續活動；受影響或曾使用相關服務的組織應清查 Entra 應用程式同意授權與存取紀錄。
發生了什麼事
Sophos 揭露備份供應商應用程式身分可能遭濫用，導致多個 Microsoft 365 租戶被批次要求權杖。
為什麼重要
跨租戶應用程式授權的權限範圍可能遠大於單一帳號，憑證遭濫用會形成供應鏈風險。
影響哪些人
ConnectWise Cloud Backup、SkyKick 的現有及曾經客戶，以及 Microsoft 365 租戶管理者需檢查授權。
已確認與未確認
已確認異常請求模式與官方處置；憑證取得方式及權杖後續用途尚未確定。
