App ConnectWise Cloud Backup é usado para invadir tenants do M365

Invasores abusaram da identidade de app no Microsoft 365 do ConnectWise Cloud Backup, antes SkyKick Cloud Backup, para entrar em tenants de clientes a partir de 15 de outubro de 2026. Um tenant é a configuração própria do Microsoft 365 de uma organização. A empresa de segurança Huntress confirmou logins não autorizados em pelo menos 162 deles. Como o invasor entrou como um app confiável, e não como uma pessoa, a autenticação multifator (MFA) nunca entrou em jogo.

A Microsoft chamou isso de ataque ativo à cadeia de suprimentos, informa o BleepingComputer. Em um ataque à cadeia de suprimentos, os invasores entram por um fornecedor em que seus alvos confiam. A ConnectWise vende suas ferramentas principalmente para provedores de serviços gerenciados (MSPs), empresas que cuidam da TI de muitos negócios menores.

Como o ataque funcionou

Apps de backup precisam de acesso amplo, então os clientes lhes concedem permissões abrangentes no Microsoft Entra ID, o serviço de identidade da Microsoft. O app então tem sua própria identidade, chamada service principal, que pode fazer login sem um humano.

O invasor usou a própria credencial do app de backup para pedir tokens de acesso e chamar a Graph API da Microsoft com as permissões que os clientes já tinham concedido. Os pesquisadores descrevem a credencial de formas diferentes. A Huntress a chama de client assertion, enquanto a Todyl, outra empresa de segurança, diz que foi usado um client secret.

Alguns dos apps Cloud Management da ConnectWise então deram a si mesmos funções de administrador, "principalmente Exchange Administrator", descobriu a Huntress. Em um tenant, o app Teams Cloud Management se tornou Global Administrator. Ele também adicionou credenciais a dois outros apps, um deles da própria Huntress.

Linha do tempo

Data (2026, UTC)	O que aconteceu
13-14 de outubro	Ataques de password spraying atingiram quatro tenants de escritórios de advocacia, segundo a Huntress
14 de outubro	A ConnectWise diz que identificou o problema
15 de outubro, a partir de 01:58	Começaram logins maliciosos e mudanças de funções, segundo a Huntress
16 de outubro, 17:47	A ConnectWise publicou seu primeiro aviso
16 de outubro, 19:00	A Huntress confirmou logins em 162 tenants
17 de outubro	A ConnectWise desativou sete identidades de app e suspendeu o Cloud Backup
18 de outubro, 01:00	Cloud Backup ainda suspenso, sem previsão de restauração

A contagem continuou crescendo. Em uma atualização de 17 de outubro, a Huntress disse que quase 1.000 tenants do Entra tinham visto tentativas de login do endereço IP do invasor. Em mais de 300 deles, as tentativas deram certo. Ninguém identificou o invasor. A Huntress rastreou a atividade até um endereço de um provedor de hospedagem, 144.172.64[.]128.

Quais dados estavam em risco

As permissões que os clientes concederam deixavam o app de backup ler e gravar e-mails, arquivos do OneDrive e do SharePoint e chats do Teams, diz a Todyl. Nos nove tenants que a Todyl examinou, ela encontrou só logins, não provas de roubo de dados. A Huntress também não confirmou nenhum acesso a e-mails ou arquivos. Ela alerta que ler o diretório não deixa rastro nos logs de auditoria.

"Não temos indícios até o momento de que os dados de backup dos parceiros do Cloud Backup tenham sido comprometidos", disse a ConnectWise em seu aviso. A empresa também tirou do ar seus serviços SaaS Security e Cloud Management por precaução.

O que isso significa para desenvolvedores

• Desative os apps da ConnectWise, não os exclua. A Huntress recomenda desativar os enterprise apps afetados em cada tenant. Excluir remove o consentimento e dificulta a investigação posterior. Tenants mais antigos podem listá-los como "SkyKick Cloud Manager".
• Lembre que os tokens sobrevivem ao desligamento. Tokens já emitidos continuam válidos até expirar, em até 90 minutos, diz a Todyl. Revogar as sessões dos usuários não encerra o acesso de um app.
• Procure credenciais e funções novas. Revise client secrets e certificados adicionados desde 13 de outubro. Verifique os logs de auditoria do Entra em busca de apps que se adicionaram a funções. Remova qualquer direito de Global Administrator inesperado.
• Não religue os backups cedo demais. "Não reative os aplicativos afetados da ConnectWise até que a ConnectWise confirme que todas as credenciais foram redefinidas", diz a Huntress. Desativar pausa os backups, mas não exclui as cópias que a ConnectWise já guarda.
• Audite todo app com consentimento amplo. Este ataque não precisou de nenhuma senha roubada e passou pelo MFA. Qualquer app de terceiros com permissões de e-mail ou de arquivos em todo o tenant é o mesmo tipo de porta. Liste esses apps, corte as permissões de que eles não precisam e limite quem pode gerenciá-los.