Em atualização de 17 de outubro de 2026, às 05:01 UTC, a ConnectWise informa que desligou o acesso ao aplicativo Cloud Backup, interrompendo os serviços de backup até novo aviso. A empresa diz que o arquivo de backup já existente não foi afetado pela interrupção e ficaria acessível quando o serviço fosse restabelecido. ConnectWise
A Huntress relatou logins não autorizados em 173 locatários de parceiros e clientes, segundo o The Hacker News. O total conta autenticações; a investigação da Todyl descreve separadamente o que foi possível observar sobre leituras de dados em seus próprios locatários monitorados.
O que os logins revelam sobre o acesso
A credencial comprometida era da aplicação ConnectWise Cloud Backup, anteriormente chamada SkyKick Backup. Com permissões já consentidas em cada locatário, o aplicativo podia obter tokens do Microsoft Graph — credenciais temporárias usadas para acessar serviços da Microsoft. O alcance variava conforme as permissões daquele ambiente e podia incluir leitura e gravação de e-mails e anexos, arquivos do OneDrive e SharePoint, conversas do Teams e dados de diretório. Huntress e Todyl
A Todyl não encontrou registros de leitura de e-mails ou arquivos após a emissão dos tokens nos locatários monitorados sem uma assinatura ativa de backup. Nos ambientes com assinatura ativa, os registros de leitura não permitiam distinguir o uso do invasor daquele feito pelo serviço legítimo de backup: ambos usavam a mesma identidade de aplicativo. A Todyl também explica que, nos ambientes em que os registros de atividade do Microsoft Graph não eram coletados, faltavam os endereços IP de origem de cada solicitação. Todyl
Dois aplicativos, atividades distintas
A aplicação de backup e o aplicativo de gestão do Teams são identidades diferentes. A ConnectWise Cloud Backup tem o ID 506e08f9-6e9a-4da4-942b-a099a03644ae. Já a ConnectWise Cloud Management - MS Teams tem o ID 24205314-2b89-4e07-a2a4-579e898a5640. A Huntress descreve ações desse segundo aplicativo em um locatário e não atribui essa fase ao mesmo operador da atividade posterior da Cloud Backup. Huntress
A cronologia da Huntress situa as duas atividades em horários diferentes; a atualização da ConnectWise veio dois dias depois:
| Horário (UTC) | Atividade relatada | Aplicativo e alcance |
| 15/10/2026, a partir de 01:58 | Aplicativos de gestão da ConnectWise atribuíram funções de diretório a si próprios, sobretudo Exchange Administrator. | Cerca de 50 locatários monitorados pela Huntress. |
| 15/10/2026, 03:44–03:49 | O aplicativo do Teams atribuiu a si mesmo a função Global Administrator e fez nove alterações em outros aplicativos: seis tiveram sucesso e três falharam. | Um locatário; as alterações incluíram credenciais em um aplicativo de gestão de MSP e no aplicativo da Huntress. |
| 15/10/2026, 06:13–08:34 | A Huntress observou autenticações da Cloud Backup no Microsoft Graph a partir de 144.172.64[.]128. | Aplicativo ConnectWise Cloud Backup. |
| 17/10/2026, 05:01 | A ConnectWise informou que desligou o acesso ao aplicativo e interrompeu os serviços de backup. | A empresa disse que o arquivo de backup existente não foi afetado pela interrupção. |
Onde consultar os logins no Microsoft Entra
A ConnectWise orienta administradores a abrir Monitoring → Sign-in logs → Service principal sign-ins e filtrar pelo ID 506e08f9-6e9a-4da4-942b-a099a03644ae. Os registros de service principal são autenticações feitas por uma identidade de aplicativo, não por uma pessoa. A visualização padrão User sign-ins não exibe a atividade relevante. ConnectWise
A Huntress observou o uso de tokens da Cloud Backup a partir do endereço 144.172.64[.]128 em 15 de outubro. A Todyl acrescenta que desativar o aplicativo impede a emissão de novos tokens, mas os que já foram emitidos podem continuar válidos por até 90 minutos. Huntress e Todyl
A documentação da Microsoft informa que as políticas de Conditional Access para identidades de carga de trabalho descritas ali não abrangem aplicativos SaaS de terceiros, inclusive os multitenant. Microsoft Learn
