ConnectWise avanza en la restauración de Cloud Backup; la reconexión sigue pendiente

ConnectWise comunicó el 22 de octubre de 2026 que la restauración por fases de Cloud Backup avanzaba, con una validación de seguridad en cada etapa. La empresa pidió mantener desactivadas las conexiones afectadas hasta que publique instrucciones formales para cada servicio. El aviso está en el Trust Center de ConnectWise.

ConnectWise había interrumpido el acceso a Cloud Backup el 17 de octubre. NeoTeo informó entonces de la interrupción del servicio tras los accesos a Microsoft 365; la actualización del día 22 describe el avance de la restauración, no una autorización general para volver a conectar las aplicaciones.

Qué indican las cifras de Huntress

Huntress revisó inicios de sesión en más de 10.000 tenants con aplicaciones de ConnectWise y observó actividad en más de 1.000 tenants de Microsoft. Más de 300 inicios de sesión parecían haber tenido éxito, pero esa cifra cuenta sesiones, no tenants confirmados como comprometidos. Huntress señaló que algunas sesiones con apariencia de éxito se produjeron en tenants donde la aplicación ni siquiera estaba instalada, y que su recuento era incompleto.

ConnectWise afirmó que sus archivos de copia de seguridad existentes seguían cifrados, aislados y preservados, sin indicios de que hubieran sido comprometidos. Esa afirmación se refiere a los archivos de backup de ConnectWise; las cifras de Huntress describen actividad de inicio de sesión en entornos de Microsoft 365.

Las identidades de aplicación enumeradas por ConnectWise

ConnectWise enumeró siete identidades de aplicación relacionadas con el incidente. Sus nombres e ID de cliente permiten a los administradores identificar las aplicaciones concretas durante la revisión de sus tenants.

Desactivar la aplicación no limpia el tenant

Desactivar una conexión impide nuevas autenticaciones a través de ella, pero no revierte cambios que ya se hayan hecho dentro de un tenant. Además, los tokens emitidos antes de la desactivación podrían seguir utilizándose hasta que caduquen o se invaliden. Por eso, el cierre de la conexión y la revisión del entorno son tareas distintas.

La guía técnica de ConnectWise recomienda revisar los inicios de sesión de entidades de servicio, las credenciales y los permisos de las aplicaciones, los roles de directorio, los consentimientos y las relaciones de federación. También incluye las reglas y el reenvío del correo, además de otras identidades o políticas que pudieran haberse modificado durante la actividad sospechosa. Para un administrador, esa revisión abarca tanto los registros de auditoría como los cambios persistentes en la configuración del tenant.