SandIA (Buenos Aires, 17 de octubre de 2026).- Investigadores de ciberseguridad detectaron una campaña activa en la que actores desconocidos usan una credencial comprometida de Microsoft 365 perteneciente a ConnectWise Cloud Backup para acceder sin autorización a entornos de clientes, según publicó The Hacker News.
Qué es ConnectWise Cloud Backup y por qué importa
ConnectWise Cloud Backup, antes SkyKick, es un servicio de respaldo y recuperación en la nube para proveedores de servicios gestionados (MSP) que protege datos de Microsoft 365 o Google Workspace de sus clientes. Para funcionar, la aplicación recibe acceso amplio a buzones, OneDrive, SharePoint, Teams y datos de directorio en cada tenant donde está instalada, de acuerdo con The Hacker News.
Los signos de acceso no autorizado
La firma Huntress informó que observó inicios de sesión no autorizados confirmados en 173 tenants de socios y clientes con la credencial comprometida del proveedor. El investigador de seguridad Jonathan Semon señaló que la credencial de la aplicación está en manos hostiles y que se usó para obtener tokens de Microsoft Graph en tenants de clientes desde la IP 144.172.64[.]128 el 15 de octubre, entre las 06:13 y las 08:34 UTC.
Según Huntress, el actor se desplazó por los tenants en orden de GUID clasificado, con pocos segundos de diferencia, lo que sugiere un script que trabaja sobre una lista de objetivos. La misma dirección IP realizó password spraying contra cuatro tenants de estudios jurídicos el 13 y 14 de octubre de 2026, aunque no se detectaron inicios de sesión exitosos de usuarios en su telemetría.
Riesgo extendido a otras aplicaciones privilegiadas
En al menos un tenant de socio, Huntress encontró una aplicación separada de ConnectWise que se asignó privilegios de administrador global y agregó credenciales a otras aplicaciones de confianza, según detalló Semon. La aplicación ConnectWise Cloud Management para Microsoft Teams se añadió al rol de administrador global y ejecutó un script en Python que modificó dos aplicaciones del tenant, incluida la propia plataforma de Huntress, agregando nuevos secretos de cliente.
La firma Todyl informó en un análisis similar que detectó a un tercero no autorizado autenticándose en Microsoft Graph como la aplicación ConnectWise Cloud Backup. Nicholas Koken, responsable de ingeniería de detección de Todyl, explicó que el acceso heredó el consentimiento existente de la aplicación, que permite lectura y escritura de correo y adjuntos, archivos de OneDrive y SharePoint, y chats de Teams, incluida la capacidad de restaurar datos.
Respuesta de ConnectWise y recomendaciones
ConnectWise cerró el acceso a la aplicación Cloud Backup hasta nuevo aviso y afirmó que no encontró evidencia de que los datos de respaldo de sus socios hayan sido comprometidos, de acuerdo con The Hacker News. La compañía compartió indicadores de compromiso. Huntress recomendó deshabilitar la aplicación hasta que ConnectWise confirme el restablecimiento de todas las credenciales, habilitar los registros de actividad de Microsoft Graph, auditar credenciales nuevas desde el 13 de octubre de 2026 y revisar los registros de Entra en busca de aplicaciones ConnectWise o SkyKick que se hayan añadido a roles de directorio.