ConnectWise suspende Cloud Backup y desconecta otros servicios tras el robo de una credencial de sus aplicaciones en Microsoft 365
La empresa desactivó siete identidades de aplicación y apagó SaaS Security y Cloud Management mientras investiga accesos no autorizados a entornos de clientes. Huntress detectó además una segunda oleada dirigida contra organizaciones de sectores sensibles.
ConnectWise mantiene suspendido su servicio Cloud Backup, antes conocido como SkyKick, y amplió las medidas de contención a otros productos después de confirmar accesos no autorizados a las identidades de aplicación que el servicio usa dentro de Microsoft 365. En su actualización del 18 de octubre, la empresa informó que también desconectó de forma preventiva SaaS Security y Cloud Management, y que aún no tiene fecha para restablecer el servicio.
Cloud Backup es una herramienta pensada para proveedores de servicios gestionados (MSP), que la usan para respaldar los datos de Microsoft 365 o Google Workspace de sus clientes. Para ello recibe permisos amplios sobre buzones, OneDrive, SharePoint, Teams y el directorio de cada inquilino donde se instala. Ese diseño convierte el incidente en un problema de cadena de suministro: según la firma de seguridad Huntress, que investiga el caso, quien tiene la credencial de la aplicación puede autenticarse en cualquier inquilino donde esté autorizada con los mismos permisos que el servicio legítimo.
Huntress documentó que el 15 de octubre la identidad de la aplicación inició sesión en inquilinos de clientes desde una dirección de un proveedor de alojamiento, 144.172.64.128, y obtuvo tokens de Microsoft Graph durante un intervalo de algo más de dos horas. El atacante recorrió los inquilinos en orden de identificador, con segundos de separación, lo que según la firma apunta a un script con una lista de objetivos. La credencial reside en el propio inquilino del proveedor, de modo que ninguna acción de los clientes pudo haberla producido. En uno de los casos, según Huntress, otra aplicación de la familia, Cloud Management para Teams, se asignó el rol de administrador global y añadió credenciales nuevas a dos aplicaciones del mismo inquilino, una de ellas de la propia Huntress.
La investigación ha crecido con el paso de los días. Huntress confirmó primero accesos no autorizados en 162 inquilinos y, en una actualización del 17 de octubre, elevó la cifra a casi 1.000 inquilinos de Entra con actividad de inicio de sesión desde esa dirección, de los que más de 300 tuvieron éxito. La firma describió también una segunda oleada, del mismo 15 de octubre, dirigida contra 16 inquilinos de organizaciones de los sectores de políticas públicas, seguridad nacional, comercio y minerales críticos, la mayoría sin productos de ConnectWise; en esos casos los intentos fallaron porque la aplicación no estaba presente.
ConnectWise publicó su primer aviso el 16 de octubre y el 17 anunció el corte del acceso de Cloud Backup. Según su cronología, desactivó siete identidades de aplicación y revocó los certificados de las conexiones afectadas, por lo que las credenciales compartidas del servicio dejaron de ser válidas. La empresa contrató a una firma externa de respuesta a incidentes, afirma que los archivos de respaldo siguen cifrados y aislados, y que no tiene evidencia de que se haya accedido a ellos. Al mismo tiempo advierte de que la configuración de Cloud Backup no le da visibilidad sobre los entornos de sus clientes, por lo que no puede determinar por sí sola si un inquilino concreto sufrió actividad maliciosa.
Esa limitación traslada buena parte del trabajo a los administradores. ConnectWise recuerda que desactivar las aplicaciones impide nuevas autenticaciones, pero no revierte cambios ya hechos, y que los tokens emitidos antes pueden seguir siendo válidos hasta que expiren. Por eso pide revisar cada inquilino, incluidos los que conservan conexiones antiguas de SkyKick, en busca de credenciales añadidas a aplicaciones, cambios en roles y consentimientos, reglas de reenvío de correo y modificaciones en políticas de acceso condicional. Huntress aconseja desactivar las aplicaciones afectadas en lugar de eliminarlas, para conservar la evidencia.
Como análisis, el caso muestra el riesgo de las aplicaciones multiinquilino con permisos amplios que se autentican sin intervención humana: un solo secreto robado da acceso simultáneo a cientos de organizaciones y no lo frena la autenticación multifactor de los usuarios. Para los MSP, la pregunta inmediata es qué otras integraciones de terceros conservan ese nivel de acceso. Mientras tanto, las copias programadas de sus clientes siguen detenidas, y ConnectWise no ha explicado cómo se obtuvo la credencial ni quién está detrás del ataque.
Fuentes: ConnectWise Trust Center · Huntress