Em 22 de outubro de 2026, a ConnectWise informa que a restauração por fases do Cloud Backup está avançando, com validação de segurança em cada etapa. As instruções de disponibilidade e reconexão para cada serviço ainda serão divulgadas. Até que elas se apliquem ao serviço em questão, a empresa orienta os parceiros a manter desativadas as conexões afetadas. A página oficial de comunicados da ConnectWise reúne as orientações da empresa.
O serviço, anteriormente associado à marca SkyKick, foi usado para acessar ambientes Microsoft 365 com credenciais de aplicativo comprometidas. O NeoTeo já noticiou a interrupção do Cloud Backup após os acessos não autorizados; a atualização de 22 de outubro trata do avanço da restauração.
O que os números da Huntress indicam
As contagens da Huntress divulgadas em 21 de outubro se referem a atividades de entrada observadas, não a um total confirmado de tenants comprometidos. A empresa analisou registros de acesso em mais de 10 mil tenants que usavam aplicativos da ConnectWise e observou atividade suspeita em mais de mil tenants Microsoft. Mais de 300 entradas pareciam ter sido bem-sucedidas.
A Huntress ressalvou que algumas entradas aparentemente bem-sucedidas ocorreram em ambientes nos quais o aplicativo nem estava presente. Por isso, o registro de sucesso nem sempre significava que o aplicativo havia acessado o tenant, e a contagem observada não era completa.
As identidades de aplicativo listadas pela ConnectWise
A ConnectWise enumerou sete identidades para a investigação. Os IDs de cliente ajudam administradores a localizar os aplicativos exatos nos registros do ambiente.
| Identidade do aplicativo | ID do cliente |
| Cloud Backup | 506e08f9-6e9a-4da4-942b-a099a03644ae |
| Cloud Management | 2399d300-6fca-4e6a-a686-399fefe75b83 |
| Cloud Management - MS Teams | 24205314-2b89-4e07-a2a4-579e898a5640 |
| Exchange Online | b78f6a77-d4e5-46fb-87e5-d1648bd02519 |
| MS Graph | 0de14c77-b9b0-4137-9360-34878a929827 |
| Partner Center | 412dcf96-176d-4b3a-a1b0-4981ad66971e |
| SharePoint Online | b2b55f5b-7758-4719-8d8f-88ae172e6bdb |
Desativar o aplicativo não conclui a análise do tenant
A orientação técnica da ConnectWise diferencia contenção de remediação. Desativar uma conexão impede novas autenticações por ela, mas não desfaz alterações que já tenham sido feitas no tenant. Tokens emitidos anteriormente também podem continuar válidos até expirarem ou serem invalidados.
A análise recomendada pela empresa inclui registros de entrada de entidades de serviço, credenciais e permissões dos aplicativos, funções de diretório, consentimentos, relações de confiança de federação, regras e encaminhamentos de e-mail, além de outras identidades ou políticas alteradas durante a atividade suspeita. Assim, a desativação da conexão e a revisão do ambiente são etapas distintas.
A ConnectWise também afirma que seus arquivos de backup existentes permaneciam criptografados, isolados e preservados, sem indicação de comprometimento. Essa avaliação da empresa se refere aos arquivos de backup.
