Na atualização das 13h45 UTC de 19 de outubro de 2026, a ConnectWise informou que Cloud Backup, SaaS Security e Cloud Management continuavam suspensos. A empresa listou como indisponíveis os backups agendados, o acesso aos arquivos e as restaurações, o monitoramento e os alertas do SaaS Security, além da gestão de usuários e licenças do Cloud Management. Não havia um horário confirmado para a retomada, segundo o comunicado da ConnectWise.
O que a declaração sobre os arquivos de backup esclarece
A ConnectWise afirmou que os arquivos de backup armazenados continuavam criptografados e isolados, sem evidência de acesso a eles. A declaração trata desses arquivos; a empresa também disse que não consegue determinar, por conta própria, se houve atividade não autorizada em cada ambiente ativo de Microsoft 365.
A Todyl relatou autenticações por aplicativo no Microsoft Graph, sem login interativo de uma pessoa. Nesse fluxo observado, a autenticação usava uma identidade de aplicativo, e a MFA voltada a usuários não se aplicava. A Todyl também explicou que, em ambientes com backups ativos, a falta de registros de atividade do Graph dificultou atribuir algumas leituras ao uso legítimo do backup ou à atividade suspeita. A análise da Todyl descreve esse limite de atribuição.
A Huntress relatou logins não autorizados em 173 ambientes de parceiros e clientes usando a credencial original comprometida. Separadamente, a empresa informou atividade de login associada ao mesmo endereço IP em quase mil ambientes do Entra e mais de 300 logins bem-sucedidos. Esses números medem uma atividade mais ampla associada ao IP, não o mesmo conjunto de 173 ambientes. (Atualização da Huntress e análise da empresa).
A ConnectWise já havia informado, em 17 de outubro, que desativou sete identidades de aplicativo e revogou certificados das conexões afetadas. A NeoTeo também publicou uma cobertura sobre a revogação de certificados e a invalidação de credenciais. Desativar essas identidades impede novas autenticações por essas conexões, mas não desfaz alterações já feitas em um ambiente; tokens emitidos anteriormente também podem continuar válidos até expirarem ou serem invalidados.
O que os parceiros da ConnectWise devem revisar
A orientação da ConnectWise é preservar os registros disponíveis, manter desativados os aplicativos afetados e revisar os ambientes próprios e dos clientes gerenciados. A revisão deve incluir registros de entrada e auditoria, credenciais, permissões, funções administrativas, alterações em caixas de correio e outras identidades. A empresa também orientou os parceiros a aguardar instruções formais antes de restabelecer as conexões. O comunicado não determina uma troca universal de senhas.
