En su actualización del 17 de octubre de 2026, ConnectWise informa de que revocó los certificados de las conexiones afectadas e invalidó las credenciales compartidas de Cloud Backup. En ese corte, los archivos de respaldo seguían preservados, pero no podían consultarse ni restaurarse; la empresa tampoco podía determinar si un entorno Microsoft 365 concreto de sus clientes había registrado actividad no autorizada, según su aviso.
La distinción importa: el estado de los archivos almacenados no determina qué actividad pudo haber ocurrido en los servicios Microsoft 365 de cada cliente. Además, la interrupción había detenido las tareas programadas de copia de seguridad, de modo que los datos nuevos o modificados podían quedar fuera de los puntos de recuperación existentes.
Qué actividad se observó en Microsoft 365
La autenticación descrita fue app-only: una identidad de aplicación accedió sin iniciar sesión como una persona, usando permisos que ya se habían concedido a la integración. Por esa vía no aparece una solicitud de inicio de sesión humano ni un aviso de MFA para el usuario. Huntress observó inicios de sesión no autorizados de ConnectWise Cloud Backup en 162 tenants hasta las 19:00 UTC del 16 de octubre.
Microsoft Threat Intelligence calificó la actividad como un ataque activo a la cadena de suministro en una publicación original en inglés:
Para revisar los accesos de la aplicación, ConnectWise indicó que los administradores deben consultar en Microsoft Entra los registros Monitoring > Sign-in logs > Service principal sign-ins y filtrar por el identificador de ConnectWise Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae. La pestaña predeterminada de inicios de sesión de usuarios no muestra esta autenticación de aplicación. ConnectWise también indicó que la presencia de un indicador merece investigación, pero por sí sola no confirma que un tenant esté comprometido.
Cloud Management - MS Teams era otra aplicación
ConnectWise Cloud Backup y ConnectWise Cloud Management - MS Teams son aplicaciones distintas. Huntress observó que aplicaciones de Cloud Management asignaron roles de directorio en cerca de 50 tenants monitorizados, en su mayoría el rol de Exchange Administrator. En un tenant, ConnectWise Cloud Management - MS Teams se asignó el rol Global Administrator y añadió secretos de cliente a otras dos aplicaciones, incluida una aplicación de Huntress específica de ese tenant. La secuencia duró unos cinco minutos.
Este hallazgo se refiere a la aplicación de gestión de Teams, no a Cloud Backup. El identificador de ConnectWise Cloud Management - MS Teams es 24205314-2b89-4e07-a2a4-579e898a5640.
Por qué algunas lecturas no pudieron atribuirse
Todyl explicó que, en los tenants monitorizados con una suscripción activa a las copias de seguridad, la misma identidad de aplicación realizaba tareas legítimas del servicio y actividad sospechosa. Sin registros de actividad de Microsoft Graph con la IP de origen de cada solicitud, algunas lecturas de buzones y archivos no podían asignarse a una u otra actividad.
En los tenants monitorizados sin una suscripción activa, Todyl no encontró registros de lectura de buzones o archivos después de emitirse el token; describió ese resultado como ausencia de indicios de copia masiva. ConnectWise, por su parte, dijo que no podía determinar desde su investigación si un entorno Microsoft 365 individual había tenido actividad no autorizada. Así, los inicios de sesión y el acceso potencial no permiten cuantificar qué datos, si los hubo, salieron de los tenants.
