Il 22 ottobre 2026 ConnectWise ha riferito che il ripristino per fasi di Cloud Backup stava avanzando, con controlli di sicurezza a ogni passaggio. Le istruzioni per la riconnessione dei singoli servizi dovevano ancora arrivare: le connessioni interessate devono restare disattivate finché ConnectWise non comunica indicazioni formali applicabili al servizio.
ConnectWise Cloud Backup, in precedenza SkyKick, è il servizio al centro dell’incidente che ha coinvolto l’accesso ai tenant Microsoft 365 tramite credenziali applicative compromesse. Per il contesto, NeoTeo aveva raccontato la sospensione di Cloud Backup dopo gli accessi non autorizzati. L’aggiornamento del 22 ottobre riguarda l’avanzamento del ripristino, non l’autorizzazione a riattivare le connessioni.
Che cosa indicano i dati di Huntress
Huntress ha riferito di aver esaminato gli accessi in oltre 10.000 tenant con applicazioni ConnectWise e di aver rilevato attività sospette in più di 1.000 tenant Microsoft. Oltre 300 accessi apparivano riusciti. Huntress ha precisato che alcuni accessi con esito apparentemente positivo si sono verificati in tenant dove l’applicazione non era presente e che il conteggio era incompleto. Queste cifre non equivalgono quindi a un totale di tenant compromessi.
Le identità applicative elencate da ConnectWise
ConnectWise ha indicato sette identità applicative da considerare nell’indagine sull’incidente. Gli ID cliente sono identificatori univoci: conservarli integralmente aiuta gli amministratori a distinguere ogni applicazione.
| Identità applicativa | ID cliente |
| Cloud Backup | 506e08f9-6e9a-4da4-942b-a099a03644ae |
| Cloud Management | 2399d300-6fca-4e6a-a686-399fefe75b83 |
| Cloud Management - MS Teams | 24205314-2b89-4e07-a2a4-579e898a5640 |
| Exchange Online | b78f6a77-d4e5-46fb-87e5-d1648bd02519 |
| MS Graph | 0de14c77-b9b0-4137-9360-34878a929827 |
| Partner Center | 412dcf96-176d-4b3a-a1b0-4981ad66971e |
| SharePoint Online | b2b55f5b-7758-4719-8d8f-88ae172e6bdb |
Disattivare l’app non basta a verificare il tenant
Secondo le indicazioni di ConnectWise, disabilitare una connessione impedisce nuovi accessi tramite quell’app, ma non annulla eventuali modifiche già effettuate nel tenant. I token emessi in precedenza potrebbero inoltre restare utilizzabili fino alla scadenza o all’invalidazione.
La guida tecnica di ConnectWise indica di esaminare gli accessi delle entità servizio e i log di audit, le credenziali e le autorizzazioni delle applicazioni, i ruoli di directory, i consensi, le relazioni di federazione, le regole e gli inoltri delle caselle di posta, oltre alle altre identità o policy modificate durante l’attività sospetta.
ConnectWise ha dichiarato che gli archivi di backup esistenti erano rimasti cifrati, isolati e preservati, senza indicazioni di compromissione. Questa valutazione riguarda gli archivi del servizio.
