Nell’aggiornamento del 17 ottobre 2026 alle 05:01 UTC, ConnectWise dichiara di aver disattivato l’accesso all’app Cloud Backup. La misura ha interrotto i servizi di backup, mentre l’azienda afferma che l’archivio cloud già esistente non è stato coinvolto dall’interruzione e sarebbe tornato accessibile al ripristino del servizio (avviso ConnectWise).
Il 17 ottobre The Hacker News ha riportato che Huntress aveva rilevato accessi non autorizzati in 173 tenant partner o clienti. Il numero riguarda gli accessi, non quantifica i dati eventualmente letti o copiati (resoconto del 17 ottobre).
Che cosa comportava l’accesso a Cloud Backup
La credenziale compromessa apparteneva a ConnectWise Cloud Backup, già noto come SkyKick Backup. Huntress ha osservato l’uso dell’app per ottenere token di Microsoft Graph, l’interfaccia che permette alle applicazioni di interagire con i dati Microsoft 365. L’app ID è 506e08f9-6e9a-4da4-942b-a099a03644ae (analisi di Huntress).
I permessi già concessi a Cloud Backup potevano consentire lettura e scrittura di messaggi e allegati, file in OneDrive e SharePoint e chat di Teams, oltre al ripristino dei dati. L’accesso effettivo dipendeva dai permessi approvati in ciascun tenant: il conteggio degli accessi non dice quali dati siano stati consultati.
Nell’indagine sui tenant che monitora, Todyl non ha trovato registrazioni di lettura di caselle di posta o file dopo l’emissione dei token nei tenant senza un abbonamento di backup attivo. Nei tenant con un abbonamento attivo, invece, non ha potuto distinguere le letture dell’operatore da quelle del normale servizio di backup: entrambi usavano la stessa identità applicativa. Todyl spiega inoltre che, nei tenant in cui non erano stati raccolti i log delle attività di Microsoft Graph, mancavano gli indirizzi IP associati alle singole richieste (indagine di Todyl).
Due app ConnectWise in due fasi distinte
Huntress ha osservato attività di applicazioni ConnectWise Cloud Management in circa 50 tenant monitorati a partire dalle 01:58 UTC del 15 ottobre: le entità servizio, cioè le identità usate dalle app invece che da singoli utenti, si sono assegnate ruoli di directory, per lo più Exchange Administrator. In uno specifico tenant, l’app ConnectWise Cloud Management - MS Teams ha poi ottenuto il ruolo Global Administrator e ha modificato le credenziali di altre due applicazioni. È un’app distinta da Cloud Backup: il suo ID è 24205314-2b89-4e07-a2a4-579e898a5640.
La cronologia di Huntress separa questi eventi dall’uso successivo della credenziale di Cloud Backup. Per la fase dell’app Teams, l’azienda non aveva un indirizzo IP sorgente e non aveva collegato le due attività allo stesso operatore.
| Data e ora (UTC) | Attività osservata | App e ambito |
| 15 ottobre, dalle 01:58 | Assegnazione di ruoli di directory, per lo più Exchange Administrator | App ConnectWise Cloud Management in circa 50 tenant monitorati da Huntress |
| 15 ottobre, 03:44–03:49 | Nove modifiche alle credenziali di due app; sei riuscite e tre non riuscite. I nuovi segreti erano impostati per scadere nel 2028 | ConnectWise Cloud Management - MS Teams, in un tenant |
| 15 ottobre, 06:13–08:34 | Uso di token Microsoft Graph da 144.172.64[.]128 | ConnectWise Cloud Backup |
| 17 ottobre, 05:01 | ConnectWise dichiara di aver disattivato l’accesso all’app, interrompendo i servizi di backup | ConnectWise Cloud Backup; l’avviso riguarda anche l’archivio cloud esistente |
Dove controllare gli accessi dell’app
ConnectWise indica in Microsoft Entra il percorso Monitoring → Sign-in logs → Service principal sign-ins e consiglia di filtrare per l’ID di Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae. La scheda User sign-ins, visualizzata per impostazione predefinita, non mostra gli accessi dell’entità servizio. L’azienda indica anche 144.172.64[.]128 tra gli indirizzi da controllare; un singolo indicatore va valutato insieme agli altri eventi del tenant.
Todyl segnala che disattivare l’app impedisce l’emissione di nuovi token, ma quelli già emessi possono restare validi fino a 90 minuti. Microsoft specifica inoltre che le policy Conditional Access per le identità dei carichi di lavoro non coprono le applicazioni SaaS di terze parti, comprese quelle multi-tenant (documentazione Microsoft).
