Luotettu sovellus voi avata hyökkääjälle oven Microsoft 365:een

Myös luotetun sovelluksen oikeuksia voidaan käyttää väärin. Siksi Microsoft 365 -ympäristössä pitää seurata sovellusten oikeuksia, uusia kirjautumisavaimia ja niiden käyttöä.

Yrityksen Microsoft 365 -ympäristöön liitetään sovelluksia esimerkiksi varmuuskopiointia, raportointia, tietoturvaa ja käyttäjähallintaa varten. Ne hoitavat tarpeellisia tehtäviä taustalla ja tarvitsevat työhönsä käyttöoikeuksia.

Oikeuksista riippuen sovellus voi lukea sähköposteja ja tiedostoja, muuttaa asetuksia tai hallita muita sovelluksia. Siksi yrityksen on tärkeää tietää, kuka näitä oikeuksia käyttää ja mitä niiden avulla tehdään.

Mitä toimittajan tietoturvatapaus tarkoittaa asiakkaalle?

ConnectWisen lokakuussa 2026 julkaisema tiedote nosti aiheen esiin. Yhtiö kertoi Cloud Backup -palveluun, aiemmin SkyKickiin, liittyneiden sovellusten luvattomasta käytöstä. Yhtiö kehottaa asiakkaita ja IT-kumppaneita tarkastamaan omien Microsoft 365 -ympäristöjensä kirjautumiset, käyttöoikeudet ja mahdolliset muut pääsyreitit. Toimittajan selvitys ei yksin kerro, mitä yksittäisen asiakkaan ympäristössä on tapahtunut. Lue ConnectWisen tiedote.

Samanlainen riski koskee monia integraatioita. Yrityksen kannattaa tuntea sovellukset, joille se on antanut pääsyn tietoihinsa, ja seurata niiden oikeuksien käyttöä.

Myös sovellus voi kirjautua ilman käyttäjää

Käyttäjien vahva tunnistautuminen suojaa ihmisten kirjautumisia. Taustalla toimiva sovellus voi puolestaan kirjautua omalla avaimellaan, kuten sovellussalaisuudella tai varmenteella. Kutsumme niitä tässä kirjoituksessa kirjautumisavaimiksi. Käyttäjä ei hyväksy näitä kirjautumisia puhelimellaan, joten myös sovellusten pääsyä pitää valvoa. Lue Microsoftin ohje sovellusten pääsystä.

Jos kirjautumisavain päätyy vääriin käsiin, hyökkääjä voi päästä käyttämään sovellukselle jo myönnettyjä oikeuksia. Mitä laajemmat oikeudet sovelluksella on, sitä suuremmat voivat olla myös väärinkäytön seuraukset. Tämä pätee silloinkin, kun oikeuksille on perusteltu tarve.

Hyökkääjä voi jatkaa toisen sovelluksen kautta

Erityistä huomiota tarvitaan, jos sovellus pystyy antamaan oikeuksia muille sovelluksille tai lisäämään niille kirjautumisavaimia.

Kuvitellaan tilanne, jossa hyökkääjä käyttää yhden integraation oikeuksia ja lisää toiselle sovellukselle uuden kirjautumisavaimen. Sen jälkeen hän kirjautuu tällä avaimella. Alkuperäisen integraation sulkeminen voi katkaista ensimmäisen reitin. Toisen sovelluksen kautta syntynyt pääsy täytyy silti selvittää erikseen.

Kun sovelluksen toimintaa epäillään luvattomaksi, on siksi tarkastettava myös uudet kirjautumisavaimet, myönnetyt oikeudet ja muihin sovelluksiin tai käyttäjiin tehdyt muutokset. Microsoftin tutkintaohje neuvoo sekä rajaamaan sovelluksen pääsyä että selvittämään ja korjaamaan sen tekemiä muutoksia. Tutustu Microsoftin tutkintaohjeeseen.

Yrityksen kannattaa selvittää ainakin nämä asiat:

• Mitä tietoja sovellus saa käsitellä ja mitä se voi muuttaa?
• Onko sille lisätty uusia kirjautumisavaimia tai oikeuksia?
• Onko uudella avaimella kirjauduttu onnistuneesti?
• Onko sovellus tehnyt muutoksia, jotka avaavat pääsyn toisen sovelluksen kautta?

Vahti yhdistää oikeudet, muutokset ja kirjautumiset

Vahti auttaa vastaamaan näihin kysymyksiin yhdistämällä tiedot sovellusten oikeuksista, kirjautumisista ja muutoksista ymmärrettäviksi havainnoiksi.

Vahti nostaa uuden sovellussalaisuuden tai varmenteen lisäämisen arvioitavaksi. Kun voidaan osoittaa, että juuri lisätyllä avaimella on kirjauduttu onnistuneesti, Vahti yhdistää käytön samaan havaintoon. Asiakas näkee, mitä on tapahtunut ja mitä se merkitsee kyseisen sovelluksen kannalta.

Vahti yhdistää myös eri sovelluksia koskevia tapahtumia, kun niiden välisestä yhteydestä on riittävä näyttö. Esimerkiksi sovelluksen saama hallintaoikeus, sen toiselle sovellukselle lisäämä avain ja tällä avaimella tehty kirjautuminen voivat näkyä samassa havainnossa.

Vahti voi nostaa tarkistettavaksi myös vaarallisen oikeusmuutoksen, jonka sovellus on todistetusti tehnyt. Tällainen havainto ei edellytä uuden kirjautumisavaimen lisäämistä asiakkaan ympäristössä.

Vahti kertoo, mitä on havaittu, mihin sovelluksiin asia liittyy ja miksi se vaatii huomiota. Tämä auttaa asiakasta arvioimaan tilanteen ja viemään asian IT-kumppanin tai muun valtuutetun asiantuntijan käsiteltäväksi.

Kirjautuminen ja tietojen käyttö ovat eri asioita

Onnistunut kirjautuminen osoittaa, että sovellus on onnistunut tunnistautumaan. Tietojen lukeminen, muuttaminen tai kopiointi täytyy osoittaa erikseen. Uuden kirjautumisavaimen lisääminenkin voi olla hyväksytty ylläpitotoimi. Siksi muutoksen tarkoitus pitää varmistaa ennen johtopäätöksiä.

Aloita sovelluksista, joilla on laajat oikeudet

Yrityksen kannattaa aloittaa sovelluksista, joilla on laajat oikeudet sähköposteihin, tiedostoihin tai ympäristön hallintaan. Jokaisen sovelluksen käyttötarkoitus ja siitä vastaava taho pitää tuntea. Myös oikeuksille pitää olla perusteltu tarve. Käytännön tarkistukseen löydät apua artikkelista Mitä sovellukset saavat tehdä yrityksesi Microsoft 365 -ympäristössä?

Pyydä IT-kumppaniasi käymään läpi Microsoft 365 -sovellusten oikeudet, kirjautumisavaimet ja viimeaikaiset muutokset. Vahdin havainnot antavat keskustelulle konkreettisen lähtökohdan.

Tutustu Vahtiin ja Microsoft 365 -ympäristön valvontaan.