✨︎ Resumen (TL;DR):
- ConnectWise mantiene suspendidos Cloud Backup, SaaS Security y Cloud Management después de un incidente que permitió accesos no autorizados a entornos de Microsoft 365.
- Huntress confirmó accesos en 162 entornos al corte de las 19:00 UTC del 16 de octubre; los inicios de sesión investigados ocurrieron el 15 de octubre.
- Una credencial comprometida presentó a Cloud Backup como aplicación ante Microsoft 365 y utilizó permisos ya concedidos; la investigación aún separa la emisión de tokens de la copia comprobada de información.
ConnectWise mantiene suspendidos Cloud Backup, SaaS Security y Cloud Management después de que una credencial comprometida de Cloud Backup permitiera accesos no autorizados a entornos de Microsoft 365. Huntress confirmó accesos en 162 entornos al corte de las 19:00 UTC del 16 de octubre, mientras los inicios de sesión investigados ocurrieron el 15 de octubre. La interrupción bloquea los respaldos y las restauraciones de Cloud Backup.
El acceso pasó por una identidad de aplicación
ConnectWise detalló la situación en su actualización oficial del 18 de octubre de 2026. Cloud Backup, antes conocido como SkyKick, requiere leer y escribir información para respaldarla y restaurarla. Como precaución, ConnectWise suspendió SaaS Security y Cloud Management por su integración con Cloud Backup.
Un tenant de Microsoft 365 es un espacio administrativo que puede reunir múltiples usuarios y sus datos. Los 162 entornos mencionados por Huntress corresponden a estos espacios administrativos.
Todyl encontró que alguien utilizó una credencial comprometida del proveedor para identificarse como esa aplicación ante Microsoft 365 y obtener los permisos que ya tenía autorizados.
La aplicación se identificó ante Microsoft 365 sin iniciar sesión como una persona. Por eso, la autenticación multifactor de los usuarios no intervenía en esas solicitudes, según Todyl.
Los permisos podían dar acceso a correos y adjuntos, archivos de OneDrive y SharePoint, así como conversaciones de Teams.
Todyl separa los tokens de una copia confirmada
Todyl separa el acceso potencial de la copia comprobada de información. Un token es una credencial temporal que autoriza solicitudes.
En 9 entornos sin suscripción activa, Todyl identificó la emisión de tokens, pero no encontró registros posteriores de lectura de archivos o correos.
En los entornos con suscripción activa, Todyl sí registró lecturas, pero no pudo atribuirlas al servicio legítimo o al intruso. La información disponible, por tanto, no convierte esos registros en una copia atribuida de manera definitiva.
Los respaldos siguen aislados, pero la investigación continúa
ConnectWise afirma que sus respaldos siguen cifrados y aislados, sin indicios de acceso. Al mismo tiempo, la empresa reconoce que carece de visibilidad suficiente para determinar qué ocurrió en los entornos activos de sus clientes.
El 17 de octubre, ConnectWise deshabilitó 7 identidades de aplicación y revocó certificados. La compañía también invalidó las credenciales compartidas afectadas.
En otro hallazgo, Huntress documentó que Cloud Management para Microsoft Teams tenía privilegios de administrador global en un entorno. También encontró credenciales añadidas a 2 aplicaciones distintas, incluida Huntress Security Platform.
Esos cambios ocurrieron antes de los accesos investigados de Cloud Backup. Huntress no había vinculado ambas fases con un mismo operador.
La revisión debe seguir a las identidades de aplicación
La guía general de Microsoft para investigar aplicaciones comprometidas separa la contención de la recuperación. Deshabilitar los inicios de sesión permite evaluar el incidente; recuperar el control también exige revisar las credenciales, los permisos y los recursos a los que accedía la aplicación.
Entre las comprobaciones que describe están:
- Revisar los registros de inicio de sesión de las identidades de aplicación para detectar ubicaciones, horarios o recursos inesperados.
- Buscar credenciales nuevas tanto en el registro de la aplicación como en su identidad de servicio dentro del entorno.
- Revisar cambios en permisos y roles, y vigilar que una aplicación deshabilitada no vuelva a activarse sin autorización.
El procedimiento también pide valorar el impacto operativo de deshabilitar una aplicación antes de actuar. Huntress explica que suspender los respaldos automáticos no detiene el correo, los archivos ni los inicios de sesión de los usuarios.
Huntress pide revisar también las herramientas de gestión y seguridad: las credenciales añadidas pueden conservar acceso incluso después de revocar la credencial original.
