El 15 de octubre de 2026 un atacante utilizó una credencial comprometida de la aplicación ConnectWise Cloud Backup (antes SkyKick) para obtener tokens de Microsoft Graph en decenas de inquilinos de Microsoft 365. Huntress confirmó al menos 162 accesos no autorizados y otras fuentes citaron hasta 173. ConnectWise ha desactivado el acceso de la aplicación a nivel global y ha interrumpido los servicios de copia de seguridad.
Qué ocurrió y cuándo
Según el análisis publicado por Huntress el 16 de octubre, la credencial de la aplicación ConnectWise Cloud Backup (Application ID: 506e08f9-6e9a-4da4-942b-a099a03644ae) fue utilizada desde la dirección IP 144.172.64.128, asociada a un proveedor de hosting y no al espacio privado habitual de Azure. Los inicios de sesión se registraron el 15 de octubre entre las 06:13 y las 08:34 UTC. El atacante recorrió los inquilinos en orden de GUID, con pocos segundos de diferencia entre cada uno, lo que apunta a un script automatizado.
La autenticación se realizó como la propia aplicación (client assertion), no como un usuario. Por tanto, no intervino MFA ni un error del cliente. La credencial vive en el inquilino del proveedor, por lo que el incidente es de cadena de suministro: afecta a todos los inquilinos donde la aplicación está instalada y tiene consentimiento.
ConnectWise actualizó su página de estado el 17 de octubre a las 05:11 UTC confirmando acceso no autorizado a identidades de aplicación y anunció el cierre global del acceso de Cloud Backup. La empresa afirma que no hay indicios de que los datos de copia de seguridad de los partners hayan sido comprometidos y que los archivos existentes permanecen intactos.
Impacto y alcance
La aplicación de backup dispone de permisos amplios sobre Exchange, OneDrive, SharePoint, Teams y datos de directorio. El atacante heredó esos permisos. Huntress y Todyl documentaron que, en al menos un inquilino, una segunda aplicación de ConnectWise (Cloud Management – MS Teams) se asignó a sí misma el rol de Global Administrator y añadió nuevos secretos de cliente a otras aplicaciones, con vencimiento en 2028. Esas técnicas de persistencia corresponden a T1098.001 y T1078.004 de MITRE ATT&CK.
Microsoft confirmó actividad maliciosa relacionada con la aplicación el 15 de octubre. El número exacto de inquilinos afectados sigue en revisión: Huntress reportó 162 a las 19:00 UTC del 16 de octubre; otras coberturas citaron 173. El radio de explosión potencial es mayor, porque cualquier inquilino con la aplicación consentida es vulnerable mientras la credencial no sea rotada.
Qué deben hacer las organizaciones
Huntress recomienda deshabilitar (no eliminar) de inmediato las aplicaciones afectadas:
- ConnectWise Cloud Backup (ID 506e08f9-6e9a-4da4-942b-a099a03644ae)
- ConnectWise Cloud Management – MS Teams (ID 24205314-2b89-4e07-a2a4-579e898a5640)
Y revisar otras aplicaciones de Cloud Management de ConnectWise (Exchange, SharePoint) que Huntress identificó el 17 de octubre. También hay que auditar los registros de inicio de sesión de entidades de servicio en Entra ID, buscar secretos añadidos desde el 13 de octubre y no reactivar las aplicaciones hasta que ConnectWise confirme la rotación de credenciales.
Deshabilitar la aplicación impide nuevos tokens, pero los tokens ya emitidos siguen siendo válidos hasta su caducidad (hasta 90 minutos en algunos casos). Revocar sesiones de usuario no afecta al acceso basado en aplicación. Las empresas deben revisar también los permisos y secretos de otras aplicaciones de confianza.
Contexto para España y la UE
ConnectWise Cloud Backup es utilizado por proveedores de servicios gestionados (MSP) que atienden a empresas de todos los tamaños. En España y la UE, muchas pymes dependen de MSPs que emplean este tipo de herramientas de copia de seguridad para Microsoft 365. El incidente no requiere una acción del usuario final, pero sí de los administradores de inquilinos y de los MSPs.
Desde el punto de vista normativo, el acceso no autorizado a datos de correo y archivos puede constituir una violación de datos personales bajo el RGPD. Las organizaciones afectadas deben evaluar si es necesario notificar a la AEPD y a los interesados, según el alcance real de los datos accedidos. Hasta el momento, ni ConnectWise ni Huntress han confirmado exfiltración masiva de datos de cliente; el riesgo principal documentado es el acceso y la posible persistencia.
Qué puede pasar ahora
ConnectWise ha interrumpido el servicio de copia de seguridad. Las organizaciones deben comprobar su última copia exitosa y utilizar los mecanismos nativos de Microsoft 365 (papelera de Outlook, OneDrive y SharePoint) para recuperar elementos eliminados mientras el servicio esté parado. No hay fecha de restauración publicada.
El incidente ilustra el riesgo de las aplicaciones de proveedor con permisos amplios y credenciales de larga duración. Es previsible que reguladores y clientes exijan mayor transparencia y controles sobre las aplicaciones de terceros en Entra ID. Las empresas pueden limitar el daño futuro revisando periódicamente los consentimientos de aplicaciones, aplicando el principio de mínimo privilegio y monitorizando los inicios de sesión de entidades de servicio.
Fuentes principales: análisis de Huntress, página de estado de ConnectWise, cobertura de BleepingComputer y investigación de Todyl.
Cómo funciona el acceso por aplicación
En Microsoft Entra ID (antes Azure AD), las aplicaciones empresariales pueden autenticarse con un secreto de cliente o un certificado mediante el flujo de client credentials. Cuando una organización concede consentimiento a una aplicación multi-inquilino, se crea una entidad de servicio (service principal) en ese inquilino con los permisos solicitados. Esos permisos suelen incluir lectura y escritura de correo (Mail.ReadWrite), archivos (Files.ReadWrite.All), sitios de SharePoint y chats de Teams.
En este caso, el secreto comprometido pertenecía a ConnectWise, no a la organización víctima. El atacante no necesitó robar credenciales de usuario ni superar MFA. Bastó con presentar la aserción de cliente desde una IP externa. Los registros de inicio de sesión de entidades de servicio (service principal sign-ins) son la única fuente fiable para detectar este tipo de actividad; los registros de usuario normales no la muestran.
Todyl observó que, en los inquilinos que monitoriza, los inicios de sesión ocurrieron el 15 de octubre entre las 07:11 y las 08:47 UTC. La empresa recomienda asumir que cualquier inquilino con la aplicación 506e08f9 habilitada debe considerarse comprometido hasta que se demuestre lo contrario y se roten las credenciales del lado del proveedor.
Recomendaciones prácticas para administradores
Además de deshabilitar las aplicaciones, los equipos de seguridad pueden:
- Filtrar los registros de inicio de sesión de entidades de servicio por los Application ID afectados y por la IP 144.172.64.128.
- Revisar los secretos de cliente añadidos a cualquier aplicación desde el 13 de octubre de 2026.
- Comprobar si alguna aplicación de ConnectWise se ha asignado roles de administrador global o Exchange Administrator.
- Activar el registro de actividad de Microsoft Graph si no está habilitado, para tener visibilidad futura.
- Evaluar la revocación de todos los secretos de las aplicaciones de terceros de alto privilegio y exigir rotación periódica.
ConnectWise ha publicado indicadores de compromiso en su Trust Center y pide que cualquier actividad sospechosa se reporte a [email protected]. Microsoft también ha emitido orientaciones para revisar autenticaciones no autorizadas asociadas a la aplicación.
Para las organizaciones españolas que dependen de un MSP, la acción inmediata es contactar al proveedor y confirmar si la aplicación está instalada y si ya ha sido deshabilitada. Mientras el servicio de backup esté interrumpido, conviene no eliminar de forma permanente correos o archivos importantes, ya que la recuperación dependerá de las papeleras nativas de Microsoft 365.
Deja una respuesta