ConnectWise ha desactivado siete identidades de aplicación asociadas a su servicio Cloud Backup (anteriormente SkyKick) y suspendido las copias de seguridad de Microsoft 365 tras detectar un acceso no autorizado a esas credenciales. El incidente, confirmado por el propio fabricante y por investigadores de Huntress, ha permitido a un atacante autenticarse en cientos de tenants de clientes sin necesidad de contraseñas de usuario ni MFA.
El ataque se produjo principalmente el 15 de octubre de 2026 y afecta a proveedores de servicios gestionados (MSP) y a las empresas a las que dan soporte. ConnectWise mantiene suspendido el servicio de backup y, como precaución adicional, ha puesto offline también SaaS Security y Cloud Management. Este tipo de incidente muestra cómo una sola credencial de proveedor puede convertirse en un punto de entrada masivo cuando las aplicaciones multitenant reciben permisos amplios de forma habitual.
Qué ha ocurrido y cronología
Según el aviso oficial publicado en el Trust Center de ConnectWise, la empresa identificó accesos no autorizados a identidades de aplicación de Cloud Backup. El 17 de octubre a las 07:00 UTC desactivó siete aplicaciones:
- ConnectWise Cloud Backup (ID 506e08f9-6e9a-4da4-942b-a099a03644ae)
- ConnectWise Cloud Management y variantes para Teams, Exchange Online, MS Graph, Partner Center y SharePoint Online
La credencial comprometida era una “client assertion” (secreto de aplicación) custodiada en el tenant del fabricante. Al ser autenticación de aplicación (app-only), no interviene ningún usuario ni se activa la autenticación multifactor. El atacante pudo solicitar tokens de Microsoft Graph y actuar con los permisos que los clientes habían concedido previamente a la aplicación para realizar backups.
Huntress documentó inicios de sesión desde la IP 144.172.64.128 entre las 06:13 y las 08:34 UTC del 15 de octubre, recorriendo tenants en orden de GUID, lo que indica automatización. Microsoft Threat Intelligence lo calificó de ataque activo de cadena de suministro. La empresa identificó el problema el 14 de octubre a través de su monitorización interna y activó equipos de respuesta internos y externos.
Cómo funciona este tipo de ataque de cadena de suministro
A diferencia de un phishing tradicional o un ransomware que cifra datos, aquí el atacante no necesitó comprometer contraseñas de empleados. Bastó con obtener el secreto de una aplicación de terceros en la que muchos tenants confían. Una vez autenticado como la propia aplicación, hereda los permisos concedidos: lectura y escritura de buzones, OneDrive, SharePoint, Teams y datos de directorio, según el consentimiento otorgado en cada tenant.
En al menos un caso observado por Huntress, la aplicación de gestión de Teams se añadió a sí misma el rol de Global Administrator y plantó nuevos secretos en otras aplicaciones, estableciendo persistencia incluso después de revocar la credencial original. Los tokens ya emitidos pueden seguir siendo válidos hasta 90 minutos tras desactivar la aplicación. Este mecanismo de persistencia es especialmente relevante porque desactivar la aplicación original no elimina automáticamente los secretos adicionales que el atacante pudo haber creado.
ConnectWise afirma no tener evidencia de que los archivos de backup almacenados hayan sido accedidos. Sin embargo, reconoce que no puede determinar de forma independiente si hubo actividad no autorizada en los tenants en vivo de los clientes, por lo que recomienda a cada administrador revisar sus propios registros. Los archivos de backup permanecen cifrados, aislados y preservados, pero inaccesibles mientras el servicio esté suspendido.
Alcance según Huntress y las cifras disponibles
Huntress confirmó inicialmente 162 tenants con inicios de sesión no autorizados (datos del 16 de octubre). Informes posteriores elevaron la cifra a alrededor de 173. Además, detectó casi 1.000 tenants con actividad de inicio de sesión desde la IP sospechosa, de los cuales unos 300 tuvieron éxito. En algunos casos la ausencia de service principal impidió el acceso efectivo.
Se observó una segunda oleada más dirigida el mismo 15 de octubre contra 16 tenants de sectores sensibles (política, seguridad nacional, comercio y minerales críticos). Esa oleada no tuvo éxito. También se registraron intentos previos de password spraying contra despachos de abogados los días 13 y 14. ConnectWise desactivó las aplicaciones el 17 de octubre y revocó certificados. El servicio de Cloud Backup permanece suspendido: no se realizan backups programados ni se pueden restaurar archivos. Como medida adicional, SaaS Security y Cloud Management también están offline.
Qué deben hacer ahora los administradores y los MSP
ConnectWise y Huntress recomiendan las siguientes acciones inmediatas, tanto en el tenant del MSP como en cada tenant de cliente (incluidos los que tengan conexiones SkyKick antiguas o inactivas):
- Desactivar (no eliminar) las aplicaciones listadas, especialmente Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae) y Cloud Management – MS Teams.
- Revisar los registros de inicio de sesión de service principals en Entra ID (la pestaña de usuarios no muestra esta actividad) filtrando por las Application ID y por la IP 144.172.64.128 desde el 13 de octubre.
- Examinar el registro de auditoría en busca de cambios de roles, añadido de secretos a aplicaciones, modificaciones de Conditional Access o nuevas aplicaciones.
- Comprobar reglas de reenvío de correo, acceso delegado a buzones y cambios recientes en permisos.
- Preservar los logs antes de realizar cambios de contención.
Un inicio de sesión exitoso no implica por sí solo exfiltración de datos, pero tampoco un log limpio garantiza ausencia de actividad si los registros no cubren todo el periodo. Microsoft recomienda revisar desde el 13 de octubre. Las licencias de Entra ID P1 o superiores facilitan la retención de logs más larga, pero un upgrade posterior no recupera historial ya expirado.
Impacto para empresas españolas y europeas
ConnectWise es una plataforma ampliamente utilizada por MSP en todo el mundo, incluida Europa. Muchas pymes españolas confían sus copias de seguridad de Microsoft 365 a proveedores que usan estas herramientas. Mientras el servicio permanece suspendido, no se generan nuevos puntos de recuperación. Los datos borrados recientemente solo se pueden recuperar a través de las papeleras nativas de Microsoft 365 (elementos eliminados de Outlook, OneDrive o SharePoint).
Para los MSP españoles esto supone un doble problema: interrumpir el servicio de backup a sus clientes y tener que investigar posibles compromisos en cada tenant gestionado. Las recomendaciones de la Agencia Española de Protección de Datos y del ENS (Esquema Nacional de Seguridad) sobre gestión de proveedores y registro de actividad resultan especialmente relevantes en este contexto. Empresas sujetas al ENS o a sectores regulados deberían documentar las acciones tomadas y valorar si el incidente requiere notificación.
Qué puede pasar ahora
ConnectWise indica que la investigación continúa y que aún no tiene una fecha de restauración. Ha contratado una firma forense externa y afirma no haber observado actividad exitosa en los entornos que monitoriza tras aplicar las mitigaciones. Sin embargo, cualquier secreto plantado por el atacante en otras aplicaciones seguiría siendo utilizable hasta que se revoque manualmente.
El caso ilustra un riesgo creciente en el modelo de aplicaciones multitenant y de “trust-through-defaults”: cuando una herramienta de terceros recibe permisos amplios en muchos tenants, el compromiso de una sola credencial del proveedor se convierte en un vector de acceso masivo. Microsoft y otros fabricantes han ido introduciendo controles adicionales (políticas de gestión de aplicaciones, Conditional Access para identidades de carga de trabajo, detección de service principals de riesgo), pero su adopción no es universal.
Hasta que ConnectWise publique instrucciones de reconexión y confirme la rotación completa de credenciales, la recomendación operativa es mantener las aplicaciones desactivadas, completar la revisión de logs y, si se detecta actividad sospechosa, tratar el tenant como potencialmente comprometido y seguir los procedimientos de respuesta a incidentes habituales.
Fuentes principales: aviso oficial de ConnectWise, informes de Huntress y declaraciones de Microsoft Threat Intelligence.
Deja una respuesta