ConnectWise-aanval via AI: wat je nu moet doen

Stand van zaken op 26 oktober 2026

Een aan China gelieerde groep probeerde in te loggen bij meer dan 2.250 Microsoft 365-tenants, met gestolen applicatiegegevens van ConnectWise. Bij een deel van de aanvallen zat er minder dan drie uur tussen de keuze van het doelwit en geprivilegieerde toegang. Niet geraakt zijn de eigen producten van Microsoft: de aanvallen kwamen niet voort uit kwetsbaarheden in Microsoft-software, en een geslaagde aanmelding bewijst niet dat er klantgegevens zijn ingezien of gestolen.

Het kernpunt voor jou: draait je IT-beheerder of back-upleverancier met ConnectWise Cloud Backup (voorheen SkyKick), SaaS Security of Cloud Management, dan kunnen er koppelingen in je Microsoft 365-omgeving staan die aanvallers hebben gebruikt. MFA helpt hier niet, want de gestolen applicaties hadden al toegang en hoefden niet opnieuw in te loggen.

Wat je nu moet doen na de ConnectWise-aanval op Microsoft 365

1. Vraag je IT-beheerder of leverancier vandaag of jullie ConnectWise Cloud Backup (SkyKick), SaaS Security of Cloud Management gebruiken.

2. Houd de bijbehorende app-koppelingen in Microsoft 365 uitgeschakeld tot ConnectWise officiële instructies geeft. Dat is ook de lijn van Microsoft en ConnectWise, inclusief oude koppelingen die niet meer actief worden gebruikt.

3. Laat de inlogactiviteit, wijzigingen aan applicatiegegevens en rechten, en de beheerdersrollen over oktober nakijken.

4. Verwijder bevestigde ongeautoriseerde toegang en bewaar het bewijsmateriaal.

5. Spreek af wie buiten kantoortijd een koppeling mag uitschakelen. Dit is een gedeeltelijke maatregel: het maakt je reactie sneller, maar het ruimt geen toegang op die al is aangemaakt. Je reactietijd moet korter zijn dan drie uur.

Wie wel en niet geraakt is: ConnectWise Cloud Backup, SaaS Security en Cloud Management

Geraakt kunnen zijn: organisaties die via een IT-beheerder (MSP) of een back-upkoppeling met ConnectWise of SkyKick werken. Het gaat om de applicatiegegevens van Cloud Backup, SaaS Security en Cloud Management. Heb je geen van deze diensten, dan loop je via deze route geen risico.

Er is geen aanwijzing dat de opgeslagen back-uparchieven zijn misbruikt. Dat meldde ConnectWise op 22 oktober 2026. Verstoring van back-up- en herstelsystemen kan het herstel van getroffen diensten wel bemoeilijken.

Waarom herstel bij de leverancier niet genoeg is

Aanvallers pasten rechten en applicatiegegevens aan. Daardoor ontstaan nieuwe toegangspunten die blijven bestaan nadat de oorspronkelijke ingang is dichtgezet. Herstel bij ConnectWise haalt dus niet automatisch toegang weg die in jouw omgeving is geregeld. Elke betrokken omgeving moet apart worden onderzocht.

Wat er gebeurd is: van 16 tot 22 oktober 2026

• 16 oktober: ConnectWise meldde ongeautoriseerde toegang tot inloggegevens van applicaties voor Cloud Backup. Het bedrijf schortte Cloud Backup, SaaS Security en Cloud Management uit voorzorg op. Op die dag waren er ongeautoriseerde logins bij 162 tenants.

• 17 oktober: bijna 1.000 Entra-tenants zagen inlogactiviteit vanaf het aanvallende IP-adres, bij meer dan 300 was die geslaagd.

• 21 oktober: Microsoft Threat Intelligence wees de groep Storm-0940 aan. Die gebruikte ARTEX, een autonoom AI-framework voor penetratietests.

• 22 oktober: ConnectWise herstelt de diensten stapsgewijs. Het herstel duurt naar verwachting enkele dagen.

De snelheid is opvallend: met vier applicatiegegevens waren er meer dan 200 logins in minder dan vier minuten. Password spraying bleek veel minder effectief: 327 accounts bij acht organisaties kregen meer dan 151.000 mislukte logins, zonder één succes. De drie uur geldt voor meerdere aanvallen, niet voor elke poging.

Het past in een breder beeld. Volgens het Microsoft Digital Defense Report van 1 oktober 2026 worden blootgestelde cloudworkloads gemiddeld na 5,3 uur aangevallen, omvatte 63 procent van de inbraken datadiefstal en steeg phishing als eerste toegangsmethode van 7 naar 23 procent. Bij Ratho zien we dat de meeste mkb-bedrijven geen overzicht hebben van welke apps toegang hebben tot hun Microsoft 365-omgeving. Dat overzicht is precies wat je in drie uur nodig hebt.

Bronnen over de ConnectWise-aanval en AI-aanvallen

• Computable: Microsoft slaat alarm over ai-cyberaanvallen

• Tom's Hardware: ConnectWise supply chain attack met AI-agents

• AIwereld: Chinese hackers zetten AI in tegen honderden organisaties

• WorkOS: Microsoft Digital Defense Report 2026 en inloggen