🛡 CIBERCRIMEN 🛡

ConnectWise suspende su servicio de Cloud Backup tras un ataque a la cadena de suministro.

⏰20 de octubre de 2026🛡CyberObservatorio

Idioma

◢ CIBERCRIMEN ◣

ConnectWise suspende su servicio de Cloud Backup tras un ataque a la cadena de suministro.

⟫ 19/10/2026 ⟫ The Record

Fuente: The Record

**Incidente de Ciberseguridad en ConnectWise: Un Ataque a la Cadena de Suministro que Afecta a Microsoft 365**

La reciente interrupción de servicios por parte de ConnectWise, una empresa de software de gestión informática, ha puesto en alerta a la comunidad de ciberseguridad. Este fin de semana, la compañía cerró varios de sus servicios tras recibir advertencias de Microsoft y otras firmas de ciberseguridad sobre un ataque a la cadena de suministro que impactaba su sistema de copia de seguridad en la nube. Este tipo de incidente no solo afecta a ConnectWise y sus clientes, sino que también plantea serias preocupaciones sobre la seguridad de los datos en plataformas ampliamente utilizadas como Microsoft 365 y Google Workspace.

El contexto de este ataque es especialmente relevante dado el aumento de ataques a la cadena de suministro en los últimos años. Estos ataques se dirigen a terceros para comprometer las infraestructuras de las empresas que utilizan sus servicios, lo que puede tener consecuencias devastadoras. En este caso, los clientes de ConnectWise, que confían en sus servicios de copia de seguridad para proteger datos críticos, están en el centro de esta crisis.

En un comunicado emitido el viernes, ConnectWise anunció que estaba investigando “intentos de acceso no autorizado asociados con el entorno de ConnectWise Cloud Backup”. Este anuncio fue seguido por la confirmación de que efectivamente se había producido un acceso no autorizado el sábado. Los analistas de incidentes de Huntress revelaron que las credenciales de ConnectWise Cloud Backup habían sido comprometidas y utilizadas para acceder al entorno de Microsoft 365 de los clientes. Microsoft, a su vez, corroboró que los actores de la amenaza “probablemente abusaron de los permisos previamente concedidos por los clientes a la aplicación, incluyendo permisos altamente elevados como Directory.ReadWrite.All”.

ConnectWise Cloud Backup es un servicio en la nube diseñado para ayudar a proteger datos en Microsoft 365 y Google Workspace, lo que implica que necesita un acceso extenso a buzones de correo, OneDrive, SharePoint, Teams y otros datos. Al utilizar credenciales robadas de ConnectWise Cloud Backup, un atacante tiene acceso a cualquier sistema donde la aplicación esté instalada, lo que representa un riesgo significativo, ya que puede operar sin dejar un rastro evidente.

A pesar de las solicitudes de comentarios sobre los atacantes y el número de clientes afectados, ConnectWise no ha proporcionado información específica. Un portavoz de la compañía aseguró a Recorded Future News que "no hay indicios" de que los datos de copia de seguridad hayan sido comprometidos. Las interrupciones de servicio actuales se aplican tanto al sistema de copia de seguridad en la nube como a las plataformas de gestión de seguridad y de nube SaaS.

Con respecto a las medidas tomadas, ConnectWise afirmó que ha remediado las credenciales comprometidas y que continúa con el monitoreo de autenticación, la revisión de permisos y el análisis forense. A lo largo del fin de semana, la empresa revocó los certificados utilizados para las conexiones de aplicaciones afectadas, lo que eliminó su acceso a través de esas conexiones. Todas las credenciales compartidas previamente utilizadas para Cloud Backup ya no son válidas.

La compañía también admitió que carece de visibilidad sobre los entornos de sus socios y clientes, lo que les impide determinar si el entorno de Microsoft 365 de un cliente específico fue vulnerado. Sin embargo, afirmaron que desde que implementaron diversas acciones, no han observado actividad amenazante exitosa. Aún no se ha proporcionado un plazo para la restauración de los servicios.

Los analistas de Huntress informaron que inicialmente observaron ataques de "spray de contraseñas" contra cuatro bufetes de abogados entre el 13 y el 14 de octubre. Para el 15 de octubre, aproximadamente 50 sistemas monitorizados por Huntress mostraron que los atacantes usaron las aplicaciones de gestión de la nube de ConnectWise para asignarse roles de directorio o administrativos. En total, Huntress registró inicios de sesión no autorizados en 162 inquilinos. También notaron una segunda ola de ataques dirigidos que, en su mayoría, resultaron infructuosos y afectaron a sistemas en sectores de política, seguridad nacional, comercio y minerales críticos.

A diferencia de la primera ola de actividad, muchos de estos inquilinos no dependían de productos de ConnectWise, lo que llevó a que los intentos fallaran debido a la ausencia del servicio relevante. Tanto Huntress como Microsoft y otras firmas de ciberseguridad informaron haber observado ataques “amplios” a partir del 15 de octubre.

Huntress advirtió que los servicios de copia de seguridad, como ConnectWise Cloud Backup, normalmente tienen acceso de lectura a correos, archivos, Teams y datos de directorio para poder copiarlos y restaurarlos. El mayor riesgo radica en lo que sucede cuando ese acceso se utiliza para obtener más privilegios. Si una aplicación puede asignar roles de directorio, puede convertirse en un Administrador Global, lo que le permite añadir credenciales a otras aplicaciones, crear nuevas aplicaciones y otorgarles permisos, restablecer contraseñas y métodos de autenticación para los usuarios, y modificar políticas de Acceso Condicional.

Cada uno de estos pasos ofrece al atacante otra vía de entrada que no depende de las credenciales del proveedor original, lo que subraya la necesidad de rotar las credenciales del proveedor, aunque esta acción por sí sola no sea suficiente. En el caso de los proveedores de servicios gestionados, el impacto puede ser aún más grave, ya que los atacantes pueden utilizar su acceso en un cliente para obtener acceso a todos los demás clientes.

ConnectWise no es ajena a los incidentes de seguridad, habiendo enfrentado múltiples problemas en el pasado, incluido un ataque patrocinado por un estado que afectó su software de gestión y monitoreo remoto el año anterior. Además, los ciberdelincuentes han explotado vulnerabilidades en los productos de la compañía que han llevado a ataques de ransomware.

La situación actual resalta la vulnerabilidad inherente a los sistemas de gestión de la nube y la importancia de implementar medidas de seguridad robustas. Los usuarios y empresas deben ser proactivos en la protección de sus entornos, asegurándose de que las credenciales se gestionen adecuadamente y de que se implementen políticas de seguridad efectivas para mitigar los riesgos asociados con este tipo de ataques. La comunidad de ciberseguridad debe permanecer vigilante y preparada para responder a las amenazas en evolución que afectan a la cadena de suministro.

◢ CIBERCRIMEN ◣

ConnectWise suspends Cloud Backup service after supply chain attack

⟫ 19/10/2026 ⟫ The Record

Source: The Record

IT management software company ConnectWise shut down several of its services this weekend after Microsoft and other cybersecurity companies warned of a supply chain attack impacting its cloud backup system. ConnectWise initially said on Friday that it was investigating “attempts of unauthorized access associated with the ConnectWise Cloud Backup environment,” and confirmed such access on Saturday. Incident responders at cybersecurity firm Huntresssaida credential belonging to ConnectWise Cloud Backup was compromised and used to gain access to the customers’ Microsoft 365 environment. Microsoftconfirmedin its own statement that threat actors “likely abused permissions previously granted by customers to the application, including highly elevated permissions like Directory.ReadWrite.All.” ConnectWise Cloud Backup is a cloud-based backup and recovery service designed to help protect data in Microsoft 365 and Google Workspace. The tool needs broad access to mailboxes, OneDrive, SharePoint, Teams and other data, according to Huntress. An attacker using stolen ConnectWise Cloud Backup credentials will inherently have wide access to any systems where the app is installed, including places where no trail of evidence will be left. ConnectWise did not respond to requests for comment about the attackers or about how many customers were impacted. A spokesperson told Recorded Future News that there is “no indication" that backup data was compromised. The current service interruptions apply to the cloud backup system as well as the SaaS Security and Cloud Management platforms. “We have remediated identified compromised credentials and identities, and we continue authentication monitoring, permission review, and forensic analysis,” the spokesperson said. In multiple updates throughout Saturday and Sunday, ConnectWisesaidit revoked certificates used for affected application connections across all users. This removed ConnectWise’s access through those connections and all shared credentials previously used for Cloud Backup are no longer valid and cannot be used. The company said they do not have visibility into partner and customer environments, so they cannot determine whether a particular customer’s Microsoft 365 environment was breached. ConnectWise said since taking a range of actions, it has seen no successful threat activity. There is no timeline for a restoration of services, the spokesperson said. Huntress incident responders said they initially saw password spray attacks against four law firms on October 13 and 14. By October 15, about 50 systems monitored by Huntress saw attackers use ConnectWise's Cloud Management apps to assign themselves directory or administrative roles. In total, Huntress saw unauthorized sign-ins in 162 tenants. Huntress also saw a second targeted wave of largely unsuccessful attacks targeting systems “in the policy, national security, trade, and critical mineral sectors.” “Unlike the first wave of activity outlined in our initial blog below, most of these tenants do not rely on any ConnectWise products. In tenants without the relevant ConnectWise service principal, the attempts failed because the application was not present,” Huntress explained. Like Huntress, Microsoft andother cybersecurity firmssaid theyobserved“broad” attacks starting on October 15. Huntress warned that backup services like ConnectWise Cloud Backup normally hold read access to mail, files, Teams, and directory data so it can copy them and restore them. “The larger risk is what happens when that access is used to gain more. If an application can assign directory roles, as we saw in one tenant, it can make itself a Global Administrator, and an administrator can add credentials to other applications, create new applications and grant them permissions, reset passwords and authentication methods for users, and change Conditional Access policies,” Huntress added. “Each of those steps gives the attacker another way back in that does not depend on the original vendor credential, which is why rotating the vendor credential is necessary, but not enough.” They noted that in managed service providers the effect can be even worse — with attackers using their foothold in one customer to gain access to all other customers. ConnectWise has dealt with multiple security incidents in the past, including one last year involving anation-state attackon its remote management and monitoring software that impacted some of its customers. Cybercriminals previouslyexploitedmultiple vulnerabilitiesin the company’s products that led to ransomware attacks. is a Breaking News Reporter at Recorded Future News. Jonathan has worked across the globe as a journalist since 2014. Before moving back to New York City, he worked for news outlets in South Africa, Jordan and Cambodia. He previously covered cybersecurity at ZDNet and TechRepublic.

𝐗 Twitter f Facebook ☎ WhatsApp ✈ Telegram

← VOLVER A CIBERSEGURIDAD