Abusan de la app ConnectWise Cloud Backup para vulnerar inquilinos de M365

Unos atacantes abusaron de la identidad de app en Microsoft 365 de ConnectWise Cloud Backup, antes SkyKick Cloud Backup, para iniciar sesión en inquilinos de clientes desde el 15 de octubre de 2026. Un inquilino (tenant) es la configuración propia de Microsoft 365 de una organización. La empresa de seguridad Huntress confirmó inicios de sesión no autorizados en al menos 162 de ellos. Como el atacante entró como una app de confianza y no como una persona, la autenticación multifactor (MFA) nunca llegó a intervenir.

Microsoft lo calificó como un ataque activo a la cadena de suministro, según BleepingComputer. En un ataque a la cadena de suministro, los intrusos entran a través de un proveedor en el que confían sus objetivos. ConnectWise vende sus herramientas sobre todo a proveedores de servicios gestionados (MSP), empresas que gestionan la informática de muchos negocios más pequeños.

Cómo funcionó el ataque

Las apps de copia de seguridad necesitan un acceso amplio, así que los clientes les conceden permisos extensos en Microsoft Entra ID, el servicio de identidad de Microsoft. La app tiene entonces su propia identidad, llamada entidad de servicio (service principal), que puede iniciar sesión sin una persona.

El atacante usó la propia credencial de la app de copia de seguridad para pedir tokens de acceso. Con ellos llamó a la Graph API de Microsoft con los permisos que los clientes ya habían concedido. Los investigadores describen la credencial de forma distinta. Huntress la llama aserción de cliente (client assertion), mientras que Todyl, otra empresa de seguridad, dice que se usó un secreto de cliente (client secret).

Después, algunas de las apps Cloud Management de ConnectWise se asignaron a sí mismas roles de administrador, «sobre todo Exchange Administrator», según descubrió Huntress. En un inquilino, la app Teams Cloud Management se convirtió a sí misma en Global Administrator. También añadió credenciales a otras dos apps, una de ellas la de la propia Huntress.

Cronología

Fecha (2026, UTC)	Qué pasó
13-14 de octubre	Un rociado de contraseñas (password spraying) golpeó cuatro inquilinos de bufetes de abogados, según Huntress
14 de octubre	ConnectWise dice que identificó el problema
15 de octubre, desde las 01:58	Empezaron los inicios de sesión maliciosos y los cambios de roles, según Huntress
16 de octubre, 17:47	ConnectWise publicó su primer aviso
16 de octubre, 19:00	Huntress confirmó inicios de sesión en 162 inquilinos
17 de octubre	ConnectWise desactivó siete identidades de app y suspendió Cloud Backup
18 de octubre, 01:00	Cloud Backup seguía suspendido, sin hora prevista de restablecimiento

La cifra no dejó de crecer. En una actualización del 17 de octubre, Huntress dijo que casi 1000 inquilinos de Entra habían recibido intentos de inicio de sesión desde la dirección IP del atacante. Más de 300 habían tenido éxito. Nadie ha identificado al atacante. Huntress rastreó la actividad hasta una dirección de un proveedor de alojamiento, 144.172.64[.]128.

Qué datos estuvieron en riesgo

Los permisos que concedieron los clientes permitían a la app de copia de seguridad leer y escribir correo, archivos de OneDrive y SharePoint, y chats de Teams, según Todyl. En los nueve inquilinos que examinó, Todyl solo encontró inicios de sesión, no pruebas de robo de datos. Huntress tampoco ha confirmado ningún acceso al correo ni a los archivos. Advierte de que leer el directorio no deja rastro en los registros de auditoría.

«Hasta la fecha no tenemos indicios de que los datos de copia de seguridad de los partners de Cloud Backup se hayan visto comprometidos», dijo ConnectWise en su aviso. También ha desconectado sus servicios SaaS Security y Cloud Management como precaución.

Qué significa esto para los desarrolladores

• Desactiva las apps de ConnectWise, no las elimines. Huntress aconseja desactivar las aplicaciones empresariales afectadas en cada inquilino. Eliminarlas borra el consentimiento y dificulta la investigación posterior. En inquilinos más antiguos pueden aparecer como «SkyKick Cloud Manager».
• Recuerda que los tokens sobreviven a la desconexión. Los tokens ya emitidos siguen siendo válidos hasta que caducan, hasta 90 minutos, según Todyl. Revocar las sesiones de usuario no corta el acceso de una app.
• Busca credenciales y roles nuevos. Revisa los secretos de cliente y los certificados añadidos desde el 13 de octubre. Busca en los registros de auditoría de Entra apps que se asignaron roles a sí mismas, y retira cualquier permiso de Global Administrator inesperado.
• No vuelvas a activar las copias de seguridad antes de tiempo. «No vuelvas a habilitar las aplicaciones de ConnectWise afectadas hasta que ConnectWise confirme que se han restablecido todas las credenciales», dice Huntress. Desactivarlas pausa las copias de seguridad, pero no borra las copias que ConnectWise ya guarda.
• Audita cada app con consentimiento amplio. Este ataque no necesitó ninguna contraseña robada y superó la MFA. Cualquier app de terceros con permisos sobre el correo o los archivos de todo el inquilino es el mismo tipo de puerta. Haz una lista de esas apps, recorta los permisos que no necesiten y limita quién puede gestionarlas.