ConnectWise mantiene suspendidos Cloud Backup, SaaS Security y Cloud Management tras un incidente que permitió accesos no autorizados a entornos de Microsoft 365. La interrupción bloquea respaldos y restauraciones en Cloud Backup, según la actualización oficial del 18 de octubre de 2026.
Huntress había confirmado accesos a 162 entornos al corte de las 19:00 UTC del 16 de octubre. Los inicios de sesión investigados ocurrieron el 15 de octubre. Cada entorno, o tenant, es un espacio administrativo de Microsoft 365 que puede reunir múltiples usuarios y sus datos.
La aplicación conservaba los permisos concedidos por cada cliente
Cloud Backup, antes conocido como SkyKick, necesita leer y escribir información para respaldarla y restaurarla. Todyl encontró que alguien utilizó una credencial comprometida del proveedor para identificarse como esa aplicación ante Microsoft 365 y obtener sus permisos previamente autorizados.
El acceso se realizaba con la identidad de la aplicación, sin iniciar sesión como una persona. Por eso, explica Todyl, la autenticación multifactor de los usuarios no intervenía en esas solicitudes. Los permisos podían dar acceso a correos y adjuntos, archivos de OneDrive y SharePoint y conversaciones de Teams.
La firma también distingue acceso potencial de copia comprobada. En nueve entornos sin suscripción activa identificó la emisión de tokens, las credenciales temporales que autorizan solicitudes, sin registros posteriores de lectura de archivos o correos. En entornos con suscripción activa, Todyl no pudo atribuir las lecturas registradas al servicio legítimo o al intruso.
Preservar los respaldos no resuelve los accesos añadidos
ConnectWise afirma que los respaldos siguen cifrados y aislados, sin indicios de acceso. La compañía reconoce que carece de visibilidad suficiente para determinar lo ocurrido en los entornos activos de sus clientes.
La empresa deshabilitó siete identidades de aplicación y revocó certificados el 17 de octubre. Las credenciales compartidas afectadas quedaron invalidadas. SaaS Security y Cloud Management fueron suspendidos por precaución, debido a su integración con Cloud Backup.
En otro hallazgo, Huntress documentó que Cloud Management para Microsoft Teams se otorgó privilegios de administrador global en un entorno y añadió credenciales a dos aplicaciones distintas, incluida Huntress Security Platform. Esos cambios ocurrieron antes de los accesos investigados de Cloud Backup. La firma no había vinculado ambas fases con un mismo operador.
La revisión debe seguir las identidades de las aplicaciones
La guía general de Microsoft para investigar aplicaciones comprometidas separa la contención de la recuperación. Deshabilitar inicios de sesión permite evaluar el incidente; recuperar el control también exige revisar credenciales, permisos y recursos a los que accedía la aplicación.
Entre las comprobaciones que describe Microsoft están:
- Examinar los registros de inicio de sesión de las identidades de aplicación para identificar ubicaciones, horarios o recursos inesperados.
- Buscar credenciales nuevas tanto en el registro de la aplicación como en su identidad de servicio dentro del entorno.
- Revisar cambios en permisos y roles, y vigilar que una aplicación deshabilitada no vuelva a activarse sin autorización.
El procedimiento también pide valorar el impacto operativo de deshabilitar una aplicación antes de actuar. Huntress explica que suspender los respaldos automáticos deja funcionando el correo, los archivos y los inicios de sesión de los usuarios.
Huntress pide revisar también las herramientas de gestión y seguridad: las credenciales añadidas pueden conservar acceso después de revocar la credencial original.
