Un grupo utilizó credenciales robadas de ConnectWise Cloud Backup para acceder a 173 inquilinos (tenants) de socios y clientes de Microsoft 365. El ataque fue posible gracias a que utilizaron una aplicación de copia de seguridad confiable que ya poseía amplios permisos, lo que demuestra el riesgo sistémico que supone la filtración de secretos de un único proveedor en entornos multitenant.

Utilizaron una credencial robada de ConnectWise Cloud Backup para iniciar sesión en 173 entornos (tenants) de socios y clientes de Microsoft 365, obteniendo acceso a través de una aplicación de copia de seguridad confiable. El incidente demuestra cómo el filtrado de un secreto de un proveedor puede crear riesgos en muchas organizaciones cuando una aplicación multitenant ya posee permisos amplios.

El producto afectado es ConnectWise Cloud Backup, anteriormente conocido como SkyKick Backup. Los proveedores de servicios gestionados utilizan la plataforma para proteger los datos de Microsoft 365 y Google Workspace. Para realizar tareas de copia de seguridad y recuperación, la aplicación de Microsoft 365 puede recibir acceso a buzones de correo de Exchange, OneDrive, SharePoint, Teams e información del directorio.

Microsoft Threat Intelligence confirmó que está rastreando un ataque de cadena de suministro activo que involucra a ConnectWise Cloud Backup (antes SkyKick Backup).

Microsoft Threat Intelligence está rastreando un ataque de cadena de suministro activo en el que un actor de amenazas comprometió la aplicación OAuth confiable de la aplicación de respaldo ConnectWise Cloud Backup (AppId: 506e08f9-6e9a-4da4-942b-a099a03644ae), anteriormente SkyKick Backup, para obtener tokens de acceso… pic.twitter.com/5FF8H30jaX

— Microsoft Threat Intelligence (@MsftSecIntel) 17 de octubre de 2026

Credencial comprometida utilizada en varios entornos

Huntress confirmó que un secreto de API perteneciente al proveedor fue comprometido y utilizado para acceder sin autorización a Microsoft 365. Informes posteriores situaron el número de entornos de socios y clientes confirmados en 173. Los registros de inicio de sesión mostraron una "aserción de cliente", lo que significa que el secreto provenía del entorno principal del proveedor y no de una contraseña o acción dentro del entorno de cada cliente.

Los atacantes utilizaron el ID de aplicación de ConnectWise Cloud Backup 506e08f9-6e9a-4da4-942b-a099a03644ae. El 15 de octubre de 2026, la aplicación inició sesión desde 144.172.64[.]128 y recibió tokens de acceso de Microsoft Graph entre las 06:13 y las 08:34 UTC. El actor se movió a través de los identificadores de entorno en orden, con solo segundos de diferencia, lo que apunta a un script automatizado que utilizaba una lista de objetivos preparada.

Este no fue un inicio de sesión de usuario normal. El atacante inició sesión como la aplicación confiable y recibió tokens que llevaban los permisos que los clientes ya habían aprobado. No fueron necesarias las contraseñas de usuario ni las solicitudes habituales de MFA porque la actividad utilizó una identidad exclusiva de la aplicación.

Se observó acceso de Administrador Global

La actividad más grave apareció en un entorno socio de Huntress. Una segunda aplicación llamada ConnectWise Cloud Management – MS Teams, con ID de aplicación 24205314-2b89-4e07-a2a4-579e898a5640, se asignó a sí misma el rol de Administrador Global. Luego, utilizó un script de Python para añadir nuevos secretos de cliente a otras dos aplicaciones confiables.

Esos secretos añadidos estaban configurados para expirar en 2028 y podrían permitir que el atacante regrese a través de las aplicaciones afectadas. Deshabilitar las aplicaciones originales de ConnectWise no elimina las credenciales ya plantadas en otros registros de aplicaciones. Por eso, debes revisar todos los secretos y certificados de las aplicaciones, no solo las entradas de ConnectWise.

Los registros de inicio de sesión de Microsoft también mostraron que la segunda aplicación se conectaba desde el rango privado IPv6 fde4:8dba:2600:37ce:6d26:200:a76:*. Sin embargo, Huntress advirtió que el tráfico legítimo de ConnectWise y de clientes no relacionados puede usar el mismo rango de nube interna de Microsoft. La dirección por sí sola no debe tratarse como prueba de actividad maliciosa.

El caso sigue a un aumento generalizado en el abuso de OAuth y de los principios de servicio. Anteriormente se informó sobre cómo los hackers usan aplicaciones OAuth en Microsoft Entra ID para mantener la persistencia, incluso después de restablecer las contraseñas. Otra investigación reciente cubrió una campaña de "password spray" de 81 millones de inicios de sesión en Microsoft 365 que abusó de Azure CLI y flujos de OAuth heredados.

Tus equipos de seguridad deberían revisar la vista de inicios de sesión de "Service principal" en el centro de administración de Microsoft Entra, ya que la página de inicio de sesión de usuario predeterminada no mostrará esta actividad. Deberían filtrar por el ID de la aplicación Cloud Backup y buscar 144.172.64[.]128, direcciones IP públicas inusuales y actividad inesperada de la API de Graph.

ConnectWise también enumeró Python-urllib/3.12 y python-requests/2.31 como agentes de usuario observados. Estos valores son señales débiles por sí mismos porque las herramientas de Python son comunes en la administración normal. La evidencia más sólida proviene de vincular el agente de usuario con la IP de origen, el ID de la aplicación, los cambios de rol y acciones como “Añadir credenciales de principio de servicio” o “Actualizar aplicación”.

Como defensor, debes revisar los registros de auditoría de Entra para ver si las aplicaciones de ConnectWise o SkyKick se están añadiendo a sí mismas a los roles del directorio. También deberías inspeccionar cada aplicación empresarial y registro de aplicación en busca de secretos de cliente o certificados añadidos desde el 13 de octubre de 2026. La falta de acceso visible a archivos o correos electrónicos no descarta la exposición de datos, ya que algunas lecturas del directorio de Microsoft Graph dejan poca o ninguna evidencia de auditoría útil.

Las organizaciones afectadas deben deshabilitar, pero no eliminar, los principios de servicio de ConnectWise Cloud Backup y ConnectWise Cloud Management – MS Teams. Eliminarlos quita el consentimiento y puede dificultar la recuperación del servicio. Deshabilitar las aplicaciones pausa las copias de seguridad automatizadas, pero no borra las copias ya almacenadas por ConnectWise.

Tú, como administrador, deberías eliminar cualquier rol de directorio que no haya sido aprobado, borrar credenciales de aplicaciones desconocidas, revisar las exclusiones de Acceso Condicional y mantener las aplicaciones afectadas deshabilitadas hasta que ConnectWise confirme que todos los secretos del proveedor han sido restablecidos. ConnectWise afirmó que las medidas de contención estaban implementadas y que no tenía indicios de que se hubiera accedido a los datos de respaldo de los socios en el momento de su aviso de seguridad.

Huntress ha publicado verificaciones detalladas e indicadores actualizados en su investigación técnica. El actor de la amenaza no ha sido identificado públicamente y el alcance total sigue bajo investigación. Debes actuar basándote en los inicios de sesión confirmados y los signos de persistencia en lugar de esperar a tener pruebas de que se sustrajeron archivos o mensajes.

Fuentes:
https://cybersecuritynews.com/connectwise-credentials-microsoft-365-accounts/