Actores de amenazas desconocidos utilizaron una credencial comprometida de ConnectWise Cloud Backup para acceder sin autorización a 173 tenants de socios y clientes de Microsoft 365, según el informe de The Hacker News, que cita a Huntress.
Huntress observó la obtención de tokens de Microsoft Graph el 15 de octubre de 2026, entre las 06:13 y las 08:34 UTC, desde 144.172.64[.]128. La cifra de 173 corresponde a tenants con inicios de sesión no autorizados confirmados, no a usuarios individuales, clientes ni registros expuestos.
ConnectWise Cloud Backup, anteriormente conocido como SkyKick, es utilizado por proveedores de servicios gestionados para proteger datos de Microsoft 365 y Google Workspace. En entornos de Microsoft 365, sus permisos consentidos pueden otorgar un amplio acceso a buzones, OneDrive, SharePoint, Teams y la información del directorio.
Huntress afirmó que toda organización en la que la aplicación siga instalada está dentro del alcance potencial de la credencial. Se trata de una evaluación de exposición; no significa que se accediera a todos esos tenants.
Los atacantes heredaron los permisos de la aplicación de copia de seguridad
Según Huntress, los atacantes se autenticaron en la aplicación Cloud Backup con sus propias herramientas y solicitaron tokens con permisos que ya estaban concedidos al servicio. Los tenants observados fueron accedidos en orden de GUID ordenado, con solo segundos de diferencia, lo que sugiere un proceso automatizado que opera desde una lista de objetivos preparada.
Por su parte, Todyl informó de que detectó a una parte no autorizada autenticándose en Microsoft Graph como la aplicación ConnectWise Cloud Backup. Afirmó que el consentimiento heredado podría permitir operaciones de lectura y escritura sobre:
- Correo electrónico y adjuntos, incluido el acceso completo a buzones mediante Exchange Web Services
- Archivos de OneDrive y SharePoint
- Chats de Microsoft Teams
- Funciones de restauración de datos
Según Todyl, revocar las sesiones de usuario habituales no pone fin a este acceso a nivel de aplicación. Deshabilitar la aplicación le impide obtener nuevos tokens en ese tenant, pero los tokens ya emitidos pueden seguir siendo válidos durante hasta 90 minutos. Si la aplicación permanece habilitada, la exposición continúa hasta que ConnectWise rote la credencial comprometida.
La misma IP de origen también realizó actividad de password spraying contra cuatro tenants de despachos de abogados los días 13 y 14 de octubre de 2026. Huntress indicó que su telemetría no mostró inicios de sesión de usuario exitosos derivados de esos intentos.
Un tenant mostró una escalada de privilegios adicional
En al menos un tenant de partner, Huntress observó que otra aplicación, ConnectWise Cloud Management app para Microsoft Teams, con el ID de aplicación 24205314-2b89-4e07-a2a4-579e898a5640, se añadió a sí misma al rol de Administrador global.
Después, la aplicación ejecutó un script de Python identificado por el user agent Python-urllib/3.12. Ese script añadió nuevos secretos de cliente a otras dos aplicaciones: una aplicación de gestión de MSP y la aplicación de Huntress Security Platform.
Esto puede ampliar las consecuencias más allá de la credencial original de Cloud Backup. Huntress explicó que las aplicaciones de gestión de MSP suelen tener consentimiento en tenants de clientes, mientras que una credencial añadida a una aplicación de seguridad hereda cualquier operación que esa herramienta esté autorizada a realizar.
Por tanto, el impacto exacto variará según los permisos concedidos dentro de cada tenant.
ConnectWise cierra el acceso de la aplicación
ConnectWise ha cerrado el acceso de la aplicación Cloud Backup hasta nuevo aviso. La empresa afirmó que no encontró evidencia de que los datos de copia de seguridad de los partners de Cloud Backup hayan sido comprometidos.
Esa declaración se limita a los datos de copia de seguridad. No desmiente los hallazgos de Huntress sobre inicios de sesión no autorizados en tenants de Microsoft 365 a través de la credencial de la aplicación.
Qué deben revisar los administradores
ConnectWise identificó el siguiente ID de aplicación de Cloud Backup y la dirección sospechosa:
- ID de aplicación de Cloud Backup:
506e08f9-6e9a-4da4-942b-a099a03644ae - IP sospechosa:
144.172.64[.]128
Los administradores pueden revisar los registros pertinentes en:
Microsoft Entra Admin Center → Monitoring → Sign-in logs → Service principal sign-ins
Los registros deben filtrarse por el ID de aplicación 506e08f9-6e9a-4da4-942b-a099a03644ae. La vista predeterminada User sign-ins no muestra la actividad de entidades de servicio necesaria para esta comprobación.
ConnectWise indicó que el tráfico de salida normal de Cloud Backup utiliza direcciones IPv6 privadas de Azure. Las autenticaciones desde direcciones fuera de los rangos esperados de Microsoft o Azure merecen revisión.
Huntress recomienda a las organizaciones:
- Deshabilitar la aplicación hasta que ConnectWise confirme que todas las credenciales se han restablecido.
- Habilitar los registros de actividad de Microsoft Graph.
- Auditar las aplicaciones en busca de nuevas credenciales añadidas desde el 13 de octubre de 2026.
- Examinar los registros de auditoría de Entra en busca de aplicaciones de ConnectWise o SkyKick que se hayan añadido a sí mismas a roles de directorio.
- Buscar el ID de aplicación
24205314-2b89-4e07-a2a4-579e898a5640y el user agentPython-urllib/3.12.
Huntress advirtió de que es posible que algunas actividades, incluidas ciertas lecturas de directorio de Microsoft Graph, no generen un registro de auditoría. Por ello, los administradores no deben considerar que la ausencia de entradas coincidentes demuestre que un tenant con consentimiento era inaccesible.
