Nell’aggiornamento delle 13:45 UTC del 19 ottobre 2026, ConnectWise riferiva che Cloud Backup, SaaS Security e Cloud Management erano sospesi e non aveva confermato un orario di ripristino. Erano indisponibili i backup programmati, l’accesso agli archivi e i ripristini; per SaaS Security erano fermi monitoraggio e avvisi, mentre Cloud Management non consentiva di gestire utenti e licenze. L’avviso di ConnectWise riporta lo stato dei servizi a quell’ora.
La dichiarazione riguardava gli archivi conservati
Il 18 ottobre ConnectWise dichiarò che gli archivi di backup esistenti erano cifrati, isolati e conservati e che non aveva prove di accesso. La dichiarazione riguardava gli archivi ospitati; ConnectWise precisò di non poter determinare autonomamente se i singoli tenant Microsoft 365 dei clienti avessero registrato attività non autorizzate.
Huntress riferì accessi non autorizzati, effettuati con la credenziale compromessa del fornitore, in 173 tenant di partner e clienti. In un’analisi separata, Huntress riportò attività di accesso associate all’IP coinvolto in quasi 1.000 tenant Microsoft Entra e oltre 300 accessi riusciti: sono misure più ampie, diverse dal conteggio dei 173 tenant (aggiornamento di Huntress; analisi di Huntress).
Todyl ha descritto accessi app-only a Microsoft Graph: l’applicazione si autenticava senza un utente interattivo, usando i permessi già concessi nel tenant. Le autorizzazioni descritte comprendevano posta e allegati, file di OneDrive e SharePoint e chat di Teams; i permessi effettivi potevano variare da un tenant all’altro. Todyl ha spiegato che, negli ambienti monitorati con backup attivo, la mancanza dei log di attività di Microsoft Graph rendeva difficile distinguere alcune letture legittime del backup da quelle non autorizzate (indagine di Todyl).
I controlli indicati ai partner
ConnectWise ha raccomandato ai partner di conservare i log disponibili, mantenere disabilitate le applicazioni interessate e controllare i propri tenant e quelli dei clienti gestiti. La verifica indicata riguarda accessi e registri di audit, credenziali, permessi, ruoli, modifiche alle caselle di posta e altre identità applicative. I partner dovevano attendere le istruzioni ufficiali per il ripristino e la riconnessione.
Il 17 ottobre ConnectWise aveva disabilitato sette identità applicative e revocato i certificati delle connessioni interessate. La società ha precisato che la disattivazione impediva nuove autenticazioni tramite quelle connessioni, ma non annullava le modifiche già apportate nei tenant; i token emessi in precedenza potevano restare validi fino alla scadenza o all’invalidazione. NeoTeo aveva già ricostruito la revoca dei certificati e l’invalidazione delle credenziali di Cloud Backup.
