Em uma atualização de 17 de outubro de 2026, a ConnectWise informou que revogou certificados de conexões afetadas e invalidou credenciais compartilhadas do Cloud Backup. Naquele momento, os arquivos de backup estavam preservados, mas sem acesso ou possibilidade de restauração; a empresa também disse não poder determinar se houve atividade não autorizada em cada ambiente Microsoft 365 de seus clientes. O aviso da ConnectWise separa, assim, a situação dos arquivos armazenados da atividade nos ambientes dos clientes.
A interrupção também deixou suspensas as tarefas programadas de backup naquela atualização. Isso importa para a recuperação: arquivos preservados não podiam ser restaurados pelo serviço enquanto o acesso permanecia suspenso.
Como o acesso apareceu nos tenants
Em 15 de outubro, o aplicativo ConnectWise Cloud Backup autenticou-se em ambientes Microsoft 365 usando uma identidade de aplicativo — um tipo de conta de serviço, sem login de uma pessoa. A rota descrita pela Huntress não exigia a senha de um cliente nem uma solicitação de MFA a um funcionário. A Microsoft Threat Intelligence classificou a atividade como um ataque ativo à cadeia de suprimentos em uma publicação em inglês:
A Huntress registrou autenticações não autorizadas em 162 tenants até 16 de outubro, às 19h UTC, em sua telemetria. “Tenant” é o ambiente Microsoft 365 de uma organização. A análise da Huntress identificou o aplicativo ConnectWise Cloud Backup pelo ID 506e08f9-6e9a-4da4-942b-a099a03644ae.
A ConnectWise orientou administradores a consultar o Microsoft Entra Admin Center em Monitoring > Sign-in logs > Service principal sign-ins e filtrar pelo ID do aplicativo. A aba padrão de logins de usuários não exibe esse tipo de autenticação. A captura publicada pela Huntress mostra a área de eventos de entrada do Entra com registros relacionados ao Cloud Backup e ao Microsoft Graph.
O aplicativo do Teams era outro
A Huntress também relatou mudanças feitas por um aplicativo distinto: o ConnectWise Cloud Management - MS Teams, identificado pelo ID 24205314-2b89-4e07-a2a4-579e898a5640. Em quase 50 tenants monitorados, aplicativos do Cloud Management atribuíram funções de diretório, principalmente Exchange Administrator. Em um deles, o aplicativo de gerenciamento do Teams atribuiu a si mesmo a função Global Administrator e adicionou segredos de cliente a outros dois aplicativos. A sequência durou cerca de cinco minutos.
A distinção é importante para entender os relatos: o aplicativo de gerenciamento do Teams não era o ConnectWise Cloud Backup. A Todyl, por sua vez, não encontrou mudanças de diretório atribuíveis ao aplicativo de backup nos tenants que examinou.
Por que algumas leituras ficaram sem atribuição
Nos tenants monitorados pela Todyl que tinham backups ativos, a mesma identidade de aplicativo atendia às operações legítimas de backup e às atividades suspeitas. Como os registros de atividade do Microsoft Graph com o IP de origem de cada solicitação não eram coletados nesses ambientes, a Todyl não conseguiu atribuir certas leituras a uma ou outra atividade. A investigação da Todyl também relata que, nos tenants sem assinatura ativa, não registrou leituras de caixas de correio ou arquivos após a emissão do token.
A Todyl informa que tokens de aplicativo emitidos antes da desativação podem continuar válidos por até 90 minutos. Já a ConnectWise disse que sua investigação não permitia determinar se um ambiente Microsoft 365 específico de um cliente havia registrado atividade não autorizada. Os registros de autenticação e as leituras sem atribuição, portanto, descrevem etapas diferentes do incidente; a situação dos arquivos de backup não responde, por si só, o que ocorreu em cada ambiente de cliente.
