🛡 VULNERABILIDADES 🛡

ConnectWise suspende la copia de seguridad en la nube tras el compromiso de inquilinos de Microsoft 365 por parte de atacantes.

⏰19 de octubre de 2026🛡CyberObservatorio

Idioma

◢ VULNERABILIDADES ◣

ConnectWise suspende la copia de seguridad en la nube tras el compromiso de inquilinos de Microsoft 365 por parte de atacantes.

⟫ 18/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Fuente: The Hacker News

**Incidente de Seguridad en ConnectWise: Acceso No Autorizado a Identidades de Aplicación y Microsoft 365**

En un entorno donde la ciberseguridad se ha vuelto una prioridad crítica para las empresas, el reciente incidente de seguridad que afecta a ConnectWise, un proveedor de software de gestión de TI, ha puesto de relieve la vulnerabilidad a la que están expuestas muchas organizaciones. El 17 de octubre de 2026, ConnectWise anunció que había deshabilitado siete identidades de aplicación tras descubrir que actores de amenaza desconocidos habían obtenido acceso no autorizado a estas identidades, comprometiendo así los inquilinos de Microsoft 365 de sus clientes. Este tipo de incidentes no solo impacta a las empresas directamente afectadas, sino que también plantea preocupaciones sobre la seguridad de los datos en la nube en un mundo cada vez más digital.

La acción de deshabilitar las identidades de aplicación se realizó a las 07:00 UTC del mencionado día, y la empresa también revocó los certificados utilizados para las conexiones de aplicaciones afectadas, suspendiendo así el servicio de Cloud Backup para todos los usuarios. Las identidades deshabilitadas incluyen los siguientes servicios y sus respectivos identificadores únicos:

- ConnectWise Cloud Backup - 506e08f9-6e9a-4da4-942b-a099a03644ae - ConnectWise Cloud Management - 2399d300-6fca-4e6a-a686-399fefe75b83 - ConnectWise Cloud Management - MS Teams - 24205314-2b89-4e07-a2a4-579e898a5640 - ConnectWise Cloud Management - Exchange Online - b78f6a77-d4e5-46fb-87e5-d1648bd02519 - ConnectWise Cloud Management - MS Graph - 0de14c77-b9b0-4137-9360-34878a929827 - ConnectWise Cloud Management - Partner Center - 412dcf96-176d-4b3a-a1b0-4981ad66971e - ConnectWise Cloud Management - SharePoint Online - b2b55f5b-7758-4719-8d8f-88ae172e6bdb

En el comunicado oficial, ConnectWise enfatizó que, aunque se deshabilitaron las conexiones afectadas para prevenir nuevas autenticaciones, esto no revertía los cambios realizados anteriormente dentro de los inquilinos. Además, se indicó que las credenciales compartidas de Cloud Backup ya no son válidas, aunque los tokens de acceso previamente emitidos podrían seguir siendo utilizables hasta que expiren o sean invalidados. Este aspecto es crucial, ya que cualquier credencial, permiso u otro acceso no autorizado establecido a través de identidades separadas requerirá una revisión y remediación adicionales.

A pesar de que se han tomado medidas para mitigar el riesgo, ConnectWise advirtió que las copias de seguridad programadas no están funcionando y que el acceso a los archivos de respaldo afectados y a las capacidades de restauración permanece inaccesible. Sin embargo, la compañía aseguró que los archivos existentes permanecen encriptados, aislados y preservados, indicando que no hay evidencia de que hayan sido vulnerados o accedidos por los atacantes.

El problema fue identificado el 14 de octubre de 2026, gracias a la "vigilancia cibernética avanzada y la diligencia" de ConnectWise, lo que llevó a activar acciones internas y externas de investigación y respuesta ante incidentes. Desde la implementación de estas mitigaciones, la empresa no ha observado actividad de amenaza exitosa en los entornos que supervisan, aunque esta situación no establece el estado de los entornos de los clientes, que no pueden ser observados directamente debido a su diseño.

Uno de los aspectos más preocupantes de este ataque es cómo permite a un atacante abusar de las credenciales de la aplicación para acceder a los entornos de Microsoft 365 de los clientes sin tener que robar cada contraseña individualmente. Al utilizar la credencial de la aplicación robada para autenticarse como tal, el atacante puede solicitar tokens de acceso de Microsoft Entra ID en función de los permisos existentes de la aplicación. Dada la amplitud de los permisos asignados a las aplicaciones de ConnectWise para realizar copias de seguridad y tareas de gestión, el robo de estas credenciales permite al actor de amenaza autenticarse como la propia aplicación y expandir su acceso al añadirlo al rol de Administrador Global, incorporar secretos de cliente a otras aplicaciones de confianza en el inquilino, e incluso crear nuevas aplicaciones y otorgarles permisos.

Además, los secretos de cliente proporcionan una vía para autenticarse como esa aplicación y establecer persistencia, lo que ofrece una alternativa para recuperar el acceso al entorno comprometido incluso si la credencial originalmente comprometida es revocada posteriormente. Esta capacidad de persistencia es un vector de ataque que puede ser devastador para las organizaciones afectadas.

En un análisis realizado por Jon Semon, Principal Security Operations Analyst en Huntress, se reveló que se observaron inicios de sesión maliciosos desde la dirección original el 15 de octubre a las 08:45 UTC, con actividades manuales específicas continuando hasta aproximadamente las 14:20 UTC de ese mismo día. A pesar de que ConnectWise ha afirmado que el acceso a Cloud Backup está cerrado, Semon advirtió que si el actor de amenaza logró añadir credenciales a aplicaciones en los inquilinos de Microsoft, esas credenciales permitirían mantener el acceso y actuar como la aplicación misma.

Huntress también informó que no ha identificado nueva actividad maliciosa desde el 15 de octubre, sin embargo, no hay evidencia de que la interrupción del acceso fuera el resultado de una divulgación pública. Se tiene una alta confianza en que el actor de amenaza también apuntó a las aplicaciones de ConnectWise Cloud Management para Exchange Online, Microsoft Teams y SharePoint, confirmando el abuso de la aplicación de Teams en un inquilino específico. Dado que esas aplicaciones no parecen haber sido deshabilitadas por ConnectWise, la posibilidad de actividad adicional persiste.

El análisis de Huntress ha revelado casi 1,000 inquilinos de Entra con actividad de inicio de sesión desde la dirección IP asociada a la actividad no autorizada, de los cuales 300 lograron acceder. Sin embargo, la ausencia de un principal de servicio en algunos inquilinos impidió que el actor de amenaza ganara acceso a esos entornos.

Ante esta situación alarmante, se recomienda a los socios y a las empresas que tomen diversas medidas de protección. Es esencial que revisen tanto su propio inquilino de Microsoft 365 como cada inquilino gestionado, incluyendo aquellos entornos con conexiones SkyKick inactivas. Se debe verificar el estado de las conexiones de aplicación listadas y mantener las aplicaciones afectadas deshabilitadas hasta nuevo aviso. Asimismo, es crucial revisar los inicios de sesión en todas las identidades desde el 13 de octubre de 2026 hasta la fecha actual, especialmente para actividades que provengan de la dirección IP "144.172.64[.]128".

Además, es importante preservar los registros de inicio de sesión y auditoría disponibles antes de iniciar pasos de contención. También se deben revisar las autenticaciones de aplicaciones y usuarios, las credenciales de la aplicación y los contratos de federación, así como los roles de directorio, propietarios, concesiones de consentimiento y cambios recientes en políticas.

La implementación de controles de Entra puede limitar el daño si una credencial de aplicación es robada. Las políticas de gestión de aplicaciones pueden restringir o bloquear secretos de cliente en los registros de aplicaciones y limitar la duración de las credenciales. Limitar quién tiene los roles de Administrador de Aplicaciones y Administrador de Aplicaciones en la Nube reduce quién puede añadir credenciales a las aplicaciones. Además, el Acceso Condicional para identidades de carga de trabajo, que requiere licencias adicionales, puede restringir desde dónde se permite que una aplicación inicie sesión, y Microsoft Entra ID Protection puede señalar principales de servicio riesgosos. Aunque ninguna de estas medidas reemplaza la revisión de credenciales, sí dificultan el uso de un secreto plantado o facilitan su detección.

Este incidente subraya la necesidad urgente de que tanto las empresas como los proveedores de servicios en la nube revisen y fortalezcan sus protocolos de seguridad, especialmente a medida que la digitalización y el uso de aplicaciones en la nube continúan en aumento.

◢ VULNERABILIDADES ◣

ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants

⟫ 18/10/2026 ⟫ info@thehackernews.com (The Hacker News)

Source: The Hacker News

ConnectWise on Saturdaysaidit has disabled seven ConnectWise application identities as it continues its investigation into an incident in which unknown threat actorsobtained unauthorized access to the application identitiesand compromised Microsoft 365 tenants. The disabled identities are listed below - ConnectWise Cloud Backup - 506e08f9-6e9a-4da4-942b-a099a03644ae ConnectWise Cloud Management - 2399d300-6fca-4e6a-a686-399fefe75b83 ConnectWise Cloud Management - MS Teams - 24205314-2b89-4e07-a2a4-579e898a5640 ConnectWise Cloud Management - Exchange Online - b78f6a77-d4e5-46fb-87e5-d1648bd02519 ConnectWise Cloud Management - MS Graph - 0de14c77-b9b0-4137-9360-34878a929827 ConnectWise Cloud Management - Partner Center - 412dcf96-176d-4b3a-a1b0-4981ad66971e ConnectWise Cloud Management - SharePoint Online - b2b55f5b-7758-4719-8d8f-88ae172e6bdb The IT management software provider said it took the action on October 17, 2026, at 07:00 UTC, adding it has also suspended Cloud Backup service by revoking certificates used for affected application connections across all users. "Disabling the affected connections prevents new authentication through those connections; it does not reverse changes previously made inside a tenant," it said. "The affected shared Cloud Backup credentials are no longer valid. Previously issued access tokens may remain usable until they expire or are otherwise invalidated. Any unauthorized credentials, permissions, or other access established through separate identities require additional review and remediation." ConnectWise also noted that scheduled backups are not running, and access to affected backup archives and restoration capabilities remains unavailable. However, it emphasized that existing archives remain encrypted, isolated, and preserved, and that there is no evidence they were breached or accessed by the attackers. Out of an abundance of caution, the company said it has temporarily taken SaaS Security and Cloud Management offline while it completes its review of the incident. Furthermore, the company revealed that itidentified the issueon October 14, 2026, through its "advanced cybersecurity monitoring and diligence," prompting it to activate internal and external incident investigation and response actions. "Since implementing these mitigations, we have not observed successful threat activity in the environments we monitor," it said. "This finding does not establish the status of downstream customer environments, which, by design, we cannot directly observe." At this stage, it's unclear if a product vulnerability contributed to the compromise of the application identities. The exact credential-exposure mechanism is the subject of an ongoing analysis, ConnectWise added. The attack is particularly dangerous as it allows an attacker to abuse the application's credentials to access customers' Microsoft 365 environments without having to steal each customer's password individually. By using the stolen application credential to authenticate as that application, the attacker can request access tokens from Microsoft Entra ID based on the application's existing permissions. Depending on the permissions assigned to the application, this could enable the attacker to potentially access other Microsoft services, including mailboxes, SharePoint documents, Teams messages, and directory information. With ConnectWise's applications operating with extensive permissions to perform backups and management tasks, the theft of the credential allows the threat actor to authenticate as the application itself and expand their access by adding it to the Global Administrator role, adding client secrets to other trusted applications in the tenant, and creating new applications and granting them permissions. By doing so, the client secrets offer a way to authenticate as that application and establish persistence, providing an alternative means to regain access to the compromised environment even if the original compromised credential is later revoked. "We last observed malicious sign-ins from the original address on October 15 at 08:45 UTC, with targeted, manual activity continuing until about 14:20 UTC that day," Jon Semon, Principal Security Operations Analyst at Huntress, told The Hacker News. "ConnectWise has said access to Cloud Backup is shut off, and if so, activity through that service should have stopped. However, if the threat actor was able to add credentials to applications in Microsoft tenants, those credentials would let them keep access and act as the application." Huntress said it has not identified new malicious activity since October 15, but there is no evidence that the stoppage was the result of public disclosure. "We have high confidence the threat actor also targeted the ConnectWise Cloud Management apps for Exchange Online, Microsoft Teams, and SharePoint, and we have confirmed abuse of the Teams app in one tenant," Semon said. "Those apps do not appear to have been disabled by ConnectWise, so additional activity could come from them, and we are actively investigating." As of late Saturday, Huntress said it identified a "second, targeted wave of attempts" from the IP address "144.172.64[.]128" on October 15. These efforts, which singled out a narrow scope of 16 tenants, were unsuccessful. The tenants are in the policy, national security, trade, and critical mineral sectors. "For the new target set, the first sweep targeted Graph tokens from the SkyKick app and occurred on October 15 between 09:25:04 and 12:35:50 UTC," Huntresssaid. "The second sweep hit the same tenants on the same date, between 13:54:39 and 14:20:24 UTC. This sweep appeared to be manual and targeted Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Entra, and the Office 365 Management APIs." In all, the managed security service provider has identified almost 1,000 Entra tenants with sign-in activity from the IP address associated with the unauthorized activity from the IP address in question, out of which 300 succeeded. Despite the successful sign-in, the absence of a service principal in some tenants is said to have prevented the threat actor from gaining access to those tenants. Partners are advised to take the following actions - Review both their own Microsoft 365 tenant and each managed customer tenant, including environments with dormant SkyKick connections. Verify the status of the listed application connections and keep affected applications disabled until further notice. Review sign-ins across identities from October 13, 2026, through the current time, specifically for activity originating from the IP address "144.172.64[.]128." Preserve available sign-in and audit records before initiating containment steps. Review application and user authentication, application credentials and federation trusts, directory roles, owners, consent grants, and recent policy changes. Check for unauthorized mailbox forwarding, inbox or transport rules, and delegated mailbox access. Investigate any other identities changed or used during suspicious activity. "Several Entra controls limit the damage if an application credential is stolen," Huntress said. "Application management policies can restrict or block client secrets on app registrations and cap credential lifetimes. Limiting who holds the Application Administrator and Cloud Application Administrator roles reduces who can add credentials to applications." "Conditional Access for workload identities, which needs additional licensing, can restrict where an application is allowed to sign in from, and Microsoft Entra ID Protection can flag risky service principals. None of these replace reviewing credentials, but they make a planted secret harder to use or easier to spot."

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD