Nell’aggiornamento del 17 ottobre 2026, ConnectWise dichiara di aver revocato i certificati delle connessioni applicative interessate e invalidato le credenziali condivise di Cloud Backup. In quel momento gli archivi cifrati erano conservati e isolati, ma non accessibili né ripristinabili. ConnectWise aggiunge di non poter determinare se i singoli tenant Microsoft 365 dei clienti avessero registrato attività non autorizzate. L’avviso di ConnectWise riguarda quindi sia le misure adottate sul servizio sia i limiti della sua visibilità sugli ambienti dei clienti.
Accessi app-only nei tenant Microsoft 365
L’accesso segnalato passava da un’identità applicativa, non dall’account di una persona: per questo, l’autenticazione descritta non richiedeva una password del cliente né un prompt MFA destinato a un utente. Huntress riferisce che un segreto API custodito nel tenant del fornitore consentiva all’app ConnectWise Cloud Backup di ottenere token per Microsoft Graph. La ricostruzione di Huntress riporta accessi non autorizzati in 162 tenant entro le 19:00 UTC del 16 ottobre 2026.
Le due aziende di sicurezza hanno osservato finestre diverse nei rispettivi ambienti: Huntress ha rilevato accessi il 15 ottobre tra le 06:13 e le 08:34 UTC; Todyl tra le 07:11 e le 08:47 UTC. Sono intervalli riferiti ai loro tenant monitorati. Il 17 ottobre Microsoft Threat Intelligence ha definito l’attività un attacco attivo alla catena di fornitura, in un post pubblicato in inglese. Il post originale di Microsoft Threat Intelligence accompagna questa valutazione.
ConnectWise indica agli amministratori dove cercare questi eventi in Microsoft Entra: Monitoring > Sign-in logs > Service principal sign-ins, filtrando per l’ID dell’app Cloud Backup, 506e08f9-6e9a-4da4-942b-a099a03644ae. La scheda predefinita User sign-ins non mostra questo tipo di autenticazione applicativa.
Un’applicazione distinta ha modificato ruoli e credenziali
Huntress ha osservato applicazioni ConnectWise Cloud Management assegnare ruoli di directory in quasi 50 tenant monitorati, nella maggior parte dei casi il ruolo Exchange Administrator. In un tenant ha segnalato una sequenza diversa, eseguita da ConnectWise Cloud Management - MS Teams, un’app separata da Cloud Backup: l’app si è assegnata il ruolo Global Administrator e ha aggiunto segreti client a due altre applicazioni, compresa un’app Huntress specifica per quel tenant. La sequenza è durata circa cinque minuti; l’ID dell’app Teams è 24205314-2b89-4e07-a2a4-579e898a5640.
Perché alcune letture non erano attribuibili
Nei tenant monitorati con un abbonamento di backup attivo, Todyl ha rilevato attività di lettura che non riusciva ad assegnare con certezza al servizio legittimo o all’attività non autorizzata: entrambe passavano dalla stessa identità applicativa. Mancavano inoltre i log di Microsoft Graph con l’indirizzo IP sorgente di ogni richiesta, necessari per distinguere quelle operazioni. L’analisi tecnica di Todyl descrive questo limite nei tenant esaminati.
Per i tenant senza un abbonamento attivo, Todyl non ha trovato registrazioni di letture di mailbox o file dopo l’emissione del token. Le osservazioni documentano gli accessi applicativi e, in alcuni ambienti, letture non attribuibili; non forniscono una quantità di dati copiati. Il dato sugli archivi di backup conservati riguarda inoltre il servizio ConnectWise, mentre l’attività nei tenant Microsoft 365 dei clienti restava fuori dalla capacità di valutazione dichiarata dall’azienda.
