ConnectWise indicó en su actualización del 19 de octubre de 2026, a las 13:45 UTC, que Cloud Backup, SaaS Security y Cloud Management seguían suspendidos. No estaban disponibles las copias programadas, el acceso a los archivos de respaldo ni las restauraciones; tampoco la supervisión y las alertas de SaaS Security ni la gestión de usuarios y licencias de Cloud Management. La empresa no tenía una hora confirmada para restablecer los servicios, según su aviso oficial.

ConnectWise había deshabilitado siete identidades de aplicación y revocado certificados de las conexiones afectadas el 17 de octubre. La cobertura previa de NeoTeo detalló esa medida.

Qué cubre la declaración sobre los archivos

ConnectWise afirmó que los archivos de respaldo alojados seguían cifrados y aislados, y que no tenía indicios de que hubieran sido consultados. Esa declaración se refiere a los archivos almacenados: la empresa también dijo que no podía determinar por su cuenta si un tenant activo de Microsoft 365 había sufrido actividad no autorizada.

Todyl observó accesos mediante una identidad de aplicación que obtenía tokens app-only de Microsoft Graph, sin un inicio de sesión interactivo de una persona. La aplicación utilizaba permisos que ya se le habían concedido en cada tenant. En entornos con copias de seguridad activas, Todyl explicó que algunos accesos a datos no podían distinguirse de la actividad habitual del servicio porque no se habían recopilado los registros de actividad de Graph. La investigación de Todyl describe esa limitación de atribución.

Huntress informó de inicios de sesión no autorizados con la credencial de proveedor comprometida en 173 tenants de partners y clientes. Por separado, comunicó actividad de inicio de sesión desde la IP asociada en casi 1.000 tenants de Entra y más de 300 inicios de sesión exitosos. La cifra de 173 cuenta tenants con accesos no autorizados; las otras métricas describen actividad más amplia asociada a esa IP. Huntress publicó el recuento de 173 tenants y detalló las métricas de actividad IP en su análisis del incidente.

Qué deben revisar los partners

ConnectWise indicó a sus partners que conservaran los registros disponibles, mantuvieran deshabilitadas las aplicaciones afectadas y revisaran los inicios de sesión, las credenciales, los permisos, las asignaciones de roles y otros cambios de identidad en sus propios entornos y en los de sus clientes. La compañía también advirtió que deshabilitar una identidad evita nuevas autenticaciones por esa conexión, pero no revierte cambios ya realizados en un tenant. Los tokens emitidos previamente podían seguir siendo válidos hasta caducar o ser invalidados. Los partners debían esperar instrucciones formales de restauración y reconexión.