ConnectWise: credencial comprometida abre 162 tenants de M365

ConnectWise ha suspendido Cloud Backup (antes SkyKick Cloud Backup), el servicio con el que muchos MSP guardan el correo, OneDrive, SharePoint y Teams de sus clientes, tras identificar un acceso no autorizado a las identidades de aplicación del servicio. Una credencial de la aplicación multitenant se usó para autenticarse en los tenants de Microsoft 365 de los clientes con los permisos ya concedidos al backup. Microsoft ha calificado el episodio de ataque activo a la cadena de suministro contra la aplicación OAuth de Cloud Backup.

Qué ha pasado

El 17 de octubre ConnectWise deshabilitó siete identidades de aplicación, revocó los certificados de las conexiones e invalidó las credenciales compartidas de Cloud Backup. El 18 de octubre desconectó también, por precaución, SaaS Security y Cloud Management, integrados con el backup. A 19 de octubre los tres servicios seguían suspendidos, sin fecha de restablecimiento: las copias programadas no se ejecutan y no se pueden consultar los archivos ni restaurar datos. Según la empresa, los archivos existentes siguen cifrados y aislados, sin indicios de acceso.

Aún no se sabe cómo se expuso la credencial ni si contribuyó una vulnerabilidad del producto. ConnectWise no se pronuncia sobre el actor y aclara que no tiene visibilidad de los entornos de los clientes: no puede decir si un tenant concreto se vio afectado.

Por qué el MFA no sirvió

Cloud Backup existe en cada tenant cliente como service principal, con el consentimiento administrativo para leer y escribir correo, archivos, chats y datos de directorio. Según Huntress, la credencial era una client assertion guardada en el tenant del proveedor: quien la tiene se autentica como la aplicación en todos los tenants que le dieron su consentimiento. Es un acceso de aplicación, sin usuario, dispositivo ni solicitud de MFA. Microsoft considera probable el abuso de permisos ya concedidos, entre ellos Directory.ReadWrite.All.

La secuencia observada

Huntress, Todyl y Microsoft, citadas por todos los medios, vinculan la actividad a la dirección 144.172.64[.]128, de un proveedor de hosting:

• 13–14 de octubre: password spraying contra cuatro tenants de despachos de abogados e intentos de acceso por script (user agent curl/7.88.1), sin accesos de usuario con éxito.
• 15 de octubre, 06:13–08:34 UTC: la identidad de Cloud Backup obtiene tokens de Microsoft Graph en los tenants, en orden ascendente de identificador y con pocos segundos de diferencia: un script con una lista de objetivos. Huntress confirmó accesos no autorizados en 162 tenants a 16 de octubre; la cifra de 173, atribuida a Huntress en el titular de The Hacker News, no aparece en la página de Huntress según ICT Security Magazine. De casi 1.000 tenants de Entra con actividad desde esa dirección, más de 300 accesos tuvieron éxito; donde no existía el service principal, el acceso falló.
• Mismo día, segunda oleada: intentos dirigidos, aparentemente manuales, contra 16 organizaciones de los sectores de política, seguridad nacional, comercio y minerales críticos, casi todas sin productos de ConnectWise. Fallaron.

El caso más grave es el de un único tenant: unas dos horas y media antes de la oleada principal, la app ConnectWise Cloud Management - MS Teams se asignó el rol de Global Administrator y, en unos cinco minutos, un script en Python añadió nuevos client secret, válidos hasta 2028, a otras dos aplicaciones: una herramienta de gestión para MSP y la aplicación de Huntress. La actividad venía de la red interna de Azure, no de la dirección del atacante, y Huntress no la ha vinculado con certeza al mismo operador. En unos 50 tenants las apps de Cloud Management se asignaron roles de directorio, sobre todo Exchange Administrator, con el user agent de las apps del proveedor: para Huntress puede tratarse de automatización de ConnectWise, que no lo ha confirmado. Microsoft señala reconocimiento vía Graph e intentos de añadir credenciales; Todyl, en nueve tenants, solo vio accesos, sin cambios en el directorio.

El robo de datos no está confirmado: en el tenant examinado en detalle, Huntress no encontró accesos registrados al correo ni a archivos, pero algunas lecturas del directorio vía Graph no dejan rastro en los registros de auditoría.

Indicadores y técnicas

• IP: 144.172.64[.]128, además de 144.172.64[.]99 y 144.172.64[.]60, añadidas al aviso de ConnectWise el 18–19 de octubre;
• user agent: python-urllib/3.12, python-requests/2.31, python-requests/2.34.2, curl/7.88.1;
• Application ID: Cloud Backup 506e08f9-6e9a-4da4-942b-a099a03644ae; Cloud Management 2399d300-6fca-4e6a-a686-399fefe75b83; MS Teams 24205314-2b89-4e07-a2a4-579e898a5640; Exchange Online b78f6a77-d4e5-46fb-87e5-d1648bd02519; MS Graph 0de14c77-b9b0-4137-9360-34878a929827; Partner Center 412dcf96-176d-4b3a-a1b0-4981ad66971e; SharePoint Online b2b55f5b-7758-4719-8d8f-88ae172e6bdb. En los tenants más antiguos las apps de Cloud Management pueden llamarse «SkyKick Cloud Manager».

Huntress clasifica la persistencia como T1098.001 (Additional Cloud Credentials). En nuestra lectura también son pertinentes T1199 (Trusted Relationship), T1078.004 (Cloud Accounts), T1098.003 (Additional Cloud Roles) y T1110.003 (Password Spraying).

Impacto para las empresas europeas e italianas

Muchas pymes no saben qué plataforma usa su MSP, y ConnectWise depende de los MSP para las comprobaciones en los tenants. Si has confiado Microsoft 365 a un proveedor, pregúntale si usa, o ha usado en el pasado, Cloud Backup o SkyKick: los accesos también tuvieron éxito en tenants sin suscripción activa. Los servicios gestionados TIC están entre los sectores de NIS2: para las entidades obligadas, un acceso al tenant a través de un proveedor debe evaluarse también como posible incidente notificable, y la seguridad de la cadena de suministro es una de las medidas exigidas. Además, mientras el servicio esté parado, los tenants se quedan sin copias actualizadas.

Qué hacer ya

1. Conserva los registros de inicio de sesión y de auditoría antes de intervenir: con Entra ID Free duran siete días.
2. Deshabilita, sin borrarlas, las siete aplicaciones entre las aplicaciones empresariales de Entra, buscándolas por Application ID. No las vuelvas a habilitar antes de las instrucciones de ConnectWise.
3. Revisa los inicios de sesión de los service principal, no los de los usuarios, filtrando por el ID de Cloud Backup y buscando las direcciones indicadas a partir del 13 de octubre.
4. Verifica las credenciales de todas las aplicaciones: hay que eliminar los secretos y certificados añadidos desde el 13 de octubre que nadie haya creado. Deshabilitar las apps de ConnectWise no elimina las claves añadidas en otras apps.
5. Revisa roles y consentimientos: roles administrativos asignados a apps, consentimientos OAuth, federaciones, cambios recientes en las directivas de Conditional Access; en el registro de auditoría, los eventos «Add member to role», «Update application» y «Add service principal credentials».
6. Revisa el correo: reenvíos, reglas de buzón y de transporte, delegaciones.
7. Ten en cuenta los tokens ya emitidos: siguen siendo válidos hasta que caducan, y revocar las sesiones de usuario no detiene el acceso de aplicación.
8. Reduce la superficie: retira el consentimiento a las apps de terceros que ya no uses y limita quién tiene los roles Application Administrator y Cloud Application Administrator, que pueden añadir credenciales.

Cómo ayuda ARXDOME

ARX Horizon te permite comprobar las direcciones indicadas en las fuentes de threat intelligence y las reconoce en los eventos que la plataforma enriquece, como las conexiones registradas por los firewalls. La revisión del tenant de Microsoft 365 descrita sigue haciéndose en el centro de administración de Entra ID.

Última actualización: 19 de octubre de 2026