ConnectWise suspende Cloud Backup tras un ataque que comprometió inquilinos de Microsoft 365
El atacante usó la identidad de la aplicación de respaldo, antes SkyKick, por lo que el doble factor no aplicó; Huntress contó al menos 162 inquilinos comprometidos.
ConnectWise cortó el acceso de sus clientes a su servicio Cloud Backup, antes SkyKick Cloud Backup, después de que un atacante usara las identidades de esa aplicación para entrar a inquilinos de Microsoft 365, informó BleepingComputer el 17 de octubre.
La empresa de detección de amenazas Huntress dijo haber identificado al menos 162 inquilinos comprometidos en su entorno. Microsoft confirmó la actividad maliciosa y dijo que detectó intentos de autenticación no autorizados desde una dirección IP el 15 de octubre. Huntress vinculó esa misma IP con inicios de sesión automatizados desde el 13 de octubre.
Según la firma Todyl, el atacante se autenticó directamente como la aplicación de respaldo usando su secreto. Como no hubo inicio de sesión de un usuario, el doble factor no sirvió. La aplicación ya tenía permisos amplios, lo que daba al atacante capacidad de leer y escribir correo, archivos de OneDrive y SharePoint y chats de Teams.
En casi 50 inquilinos, Huntress observó que aplicaciones de ConnectWise se asignaron roles de directorio, sobre todo el de administrador de Exchange. En uno, el atacante se dio el rol de administrador global y dejó credenciales para volver. Microsoft lo calificó como un ataque activo a la cadena de suministro.
«No tenemos indicios hasta la fecha de que los datos de respaldo de los socios de Cloud Backup hayan sido comprometidos», dijo ConnectWise, que no dio fecha para restablecer el servicio.
Los investigadores recomiendan revisar en Microsoft Entra los inicios de sesión de las entidades de servicio de Cloud Backup, deshabilitar las aplicaciones implicadas y eliminar secretos o certificados agregados desde el 13 de octubre. Los tokens ya emitidos siguen válidos hasta que expiran.
Fuentes: BleepingComputer: «Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack», 17 de octubre de 2026; The Hacker News: «ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants», 18 de octubre de 2026.