SandIA (Buenos Aires, 19 de octubre de 2026).- La empresa de tecnología ConnectWise suspendió su servicio Cloud Backup y desactivó siete identidades de aplicación tras detectar accesos no autorizados a cuentas corporativas de Microsoft 365, según informó The Hacker News.
Medidas de contención de la empresa
La compañía proveedora de gestión de tecnologías de la información tomó la determinación el 17 de octubre de 2026 a las 07:00 UTC. La medida incluyó la revocación de certificados para conexiones afectadas en todas las organizaciones usuarias. Desde la firma aclararon que deshabilitar los enlaces evita nuevas autenticaciones, pero no revierte cambios realizados previamente por los atacantes dentro de las plataformas. No obstante, remarcaron que los archivos respaldados continúan cifrados y aislados, sin evidencias de accesos indebidos a esa información guardada.
Origen y alcance del incidente
El problema fue identificado el 14 de octubre de 2026 mediante los sistemas de monitoreo interno de la empresa, lo que impulsó la activación de protocolos de respuesta. La vulneración resulta de alta peligrosidad porque permite usar credenciales robadas para ingresar a entornos de Microsoft 365 sin necesidad de obtener la contraseña individual de cada usuario. A través de la aplicación comprometida, los atacantes pueden solicitar tokens a Microsoft Entra ID y ampliar sus privilegios para acceder a correos, archivos de SharePoint y mensajes de Teams.
Hallazgos de los investigadores de seguridad
El analista Jon Semon, integrante de la consultora Huntress, confirmó a The Hacker News que detectaron inicios de sesión maliciosos realizados hasta el 15 de octubre de 2026. La firma de ciberseguridad identificó casi 1.000 entornos de Entra con actividad sospechosa proveniente de la dirección IP 144.172.64[.]128, con 300 casos donde la autenticación fue exitosa. Además, reportaron una segunda ola dirigida a 16 organizaciones pertenecientes a sectores de defensa, comercio y minerales críticos.