El 17 de octubre de 2026, ConnectWise comunicó que había desactivado el acceso de la aplicación Cloud Backup, lo que interrumpió el servicio de copias de seguridad. La compañía dijo que el archivo en la nube ya almacenado no se había visto afectado por el corte y que volvería a estar accesible cuando se restableciera el servicio. La investigación y la remediación seguían en marcha, según el aviso de ConnectWise.
Huntress reportó 173 entornos de partners y clientes con inicios de sesión no autorizados mediante una credencial comprometida de ConnectWise Cloud Backup, según informó The Hacker News. La cifra cuenta autenticaciones de la aplicación; los hallazgos de Todyl ayudan a distinguirlas de las lecturas de datos.
Qué implica el recuento de 173 accesos
ConnectWise Cloud Backup, antes llamado SkyKick Backup, obtuvo tokens de Microsoft Graph con una credencial de aplicación, en lugar de iniciar sesión como una persona. La aplicación tenía permisos previamente aprobados en los tenants afectados. Según esos permisos, podía acceder a correo y adjuntos, archivos de OneDrive y SharePoint, chats de Teams y datos de directorio; algunos permisos también permitían escribir o restaurar datos. El alcance concreto dependía de cada tenant, según las investigaciones de Huntress y Todyl.
En los tenants que Todyl monitorizaba sin una suscripción activa de copias de seguridad, no encontró registros de lecturas de correo o archivos después de la emisión de los tokens. En los entornos con una suscripción activa, no pudo atribuir las lecturas al atacante o al proceso legítimo de backup: ambos utilizaban la misma identidad de aplicación. Todyl indicó que, en los tenants donde no se habían recopilado registros de actividad de Microsoft Graph, faltaban las direcciones IP de origen de cada solicitud.
Dos aplicaciones y episodios distintos
La actividad de ConnectWise Cloud Management - MS Teams no correspondía a la aplicación Cloud Backup. Huntress informó de que la app de Teams se asignó el rol Global Administrator e hizo cambios en otras aplicaciones en un tenant; no vinculó esa actividad anterior con el uso posterior de la credencial de Cloud Backup. Esta es la cronología que describió Huntress y la respuesta que comunicó ConnectWise:
| Momento (UTC) | Actividad observada | Aplicación y alcance |
| 15 de octubre, desde las 01:58 | Asignaciones de roles de directorio en unos 50 tenants monitorizados, en su mayoría Exchange Administrator. | Aplicaciones de ConnectWise Cloud Management, según Huntress. |
| 15 de octubre, 03:44–03:49 | En un tenant, la aplicación se asignó Global Administrator e hizo nueve cambios en dos aplicaciones; seis se completaron y tres fallaron. Los nuevos secretos tenían vencimiento en 2028. | ConnectWise Cloud Management - MS Teams, según Huntress. |
| 15 de octubre, 06:13–08:34 | Huntress observó autenticaciones de la aplicación desde 144.172.64[.]128. | ConnectWise Cloud Backup, según Huntress. |
| 17 de octubre, 05:01 | ConnectWise dijo que desactivó el acceso de la aplicación y que la medida interrumpía el servicio de backup. | ConnectWise Cloud Backup; la compañía señaló que el archivo existente no se había visto afectado por la interrupción, según su aviso. |
Huntress no tenía una dirección de origen para la actividad de la aplicación de Teams y no la había atribuido al mismo operador que usó después la credencial de Cloud Backup. Los dos identificadores de aplicación también son distintos: 24205314-2b89-4e07-a2a4-579e898a5640 corresponde a ConnectWise Cloud Management - MS Teams; 506e08f9-6e9a-4da4-942b-a099a03644ae, a ConnectWise Cloud Backup. En algunos tenants antiguos, la app de Teams puede aparecer con el nombre SkyKick Cloud Manager - MS Teams.
Dónde consultar los inicios de sesión en Microsoft Entra
ConnectWise indicó a los administradores que revisaran Monitoring → Sign-in logs → Service principal sign-ins y filtraran por el identificador de Cloud Backup 506e08f9-6e9a-4da4-942b-a099a03644ae. La vista predeterminada User sign-ins no muestra la actividad pertinente de la aplicación, según el aviso de la compañía.
Desactivar la aplicación impide emitir tokens nuevos, pero los que ya se habían emitido podían seguir siendo válidos hasta 90 minutos, según Todyl. La organización también señaló que revocar las sesiones de usuarios no detenía este acceso de aplicación.
Las políticas de Conditional Access para identidades de carga de trabajo no cubren las aplicaciones SaaS de Microsoft o de terceros, incluidas las multitenant, según la documentación de Microsoft. NeoTeo también ha cubierto otra campaña de phishing que empleó MSP360 RMM, un incidente distinto al de ConnectWise.
