Uma atualização de 17 de outubro atribuída à Huntress pela Rocket Boys registrou atividade de login em cerca de 1.000 tenants do Microsoft Entra ID e mais de 300 logins bem-sucedidos no incidente ligado ao ConnectWise Cloud Backup. A contagem descreve autenticações; eventual leitura de dados é uma atividade diferente. Rocket Boys

Em outro recorte, a Huntress registrou logins não autorizados em 162 tenants às 19h UTC de 16 de outubro de 2026. Esse número se refere ao monitoramento da empresa naquela data, enquanto a atualização posterior contabilizou atividade em tenants e logins bem-sucedidos. Huntress

Como a aplicação acessou o Microsoft 365

A via relatada usou uma credencial mantida pelo fornecedor para autenticar a identidade do aplicativo ConnectWise Cloud Backup. A aplicação aproveitou permissões que os tenants já haviam concedido a ela para obter tokens do Microsoft Graph, serviço usado para acessar dados do Microsoft 365. Huntress

Esse fluxo, chamado de autenticação app-only, não exige que um funcionário entre com a própria conta. Por isso, a autenticação multifator (MFA) configurada para usuários não bloqueava, por si só, essa via de acesso. Conforme as permissões autorizadas em cada tenant, a aplicação poderia alcançar dados de e-mail, OneDrive, SharePoint, Teams e diretório. O evento de login registra a autenticação; operações sobre mensagens e arquivos são atividades distintas.

O caso de Global Administrator foi separado

A Huntress relatou uma sequência diferente em um único tenant. Entre 3h44 e 3h49 UTC de 15 de outubro, o aplicativo ConnectWise Cloud Management – MS Teams atribuiu a si mesmo a função Global Administrator e adicionou segredos de cliente a dois outros aplicativos. A Huntress não vinculou conclusivamente essa sequência ao operador dos logins posteriores vindos do IP público 144.172.64.128. Huntress

O que a ConnectWise declarou sobre o Cloud Backup

Em 17 de outubro, a ConnectWise informou que havia identificado acesso não autorizado a identidades de aplicativos e desligado o acesso da aplicação Cloud Backup como medida de proteção. A cobertura anterior da NeoTeo sobre a interrupção do serviço acompanha essa resposta inicial.

No aviso, a empresa disse que, até aquele momento, não tinha indicadores de comprometimento dos dados de backup de parceiros armazenados em sua infraestrutura. A declaração se referia aos arquivos de backup hospedados pela ConnectWise. ConnectWise