NoticiasNews

ConnectWise suspende Cloud Backup tras el acceso a 173 tenants de Microsoft 365ConnectWise suspends Cloud Backup after access to 173 Microsoft 365 tenants

2026-10-18

Según The Hacker News (17 de octubre de 2026), la firma Huntress detectó que atacantes usaron una credencial comprometida de la aplicación ConnectWise Cloud Backup (antes SkyKick) para iniciar sesión en 173 tenants de Microsoft 365, tanto de socios (proveedores de servicios administrados) como de clientes finales. ConnectWise cerró el acceso de la aplicación "hasta nuevo aviso" y confirmó que investiga el acceso no autorizado a identidades de aplicación.

Qué ocurrió

  • La actividad maliciosa se observó el 15 de octubre, en una ventana de pocas horas, obteniendo tokens de Microsoft Graph con la credencial de la aplicación.
  • La aplicación tiene permisos amplios sobre correos, OneDrive, SharePoint, Teams y datos del directorio, y la credencial funciona en cada tenant donde se dio consentimiento.
  • En al menos un tenant de un socio, otra aplicación de ConnectWise se asignó a sí misma el rol de Administrador Global y agregó nuevos secretos a aplicaciones de gestión.
  • ConnectWise dice que no tiene evidencia de que los datos de respaldo de los socios hayan sido comprometidos; la investigación sigue en curso.

Qué revisar

Las recomendaciones publicadas incluyen deshabilitar la aplicación hasta que el proveedor confirme el cambio de credenciales, activar los registros de actividad de Microsoft Graph, auditar credenciales nuevas desde el 13 de octubre y revisar en Entra si alguna aplicación de ConnectWise o SkyKick se asignó un rol de directorio. Revocar sesiones de usuarios no basta: los tokens ya emitidos pueden seguir vigentes hasta 90 minutos y el acceso persiste hasta que el proveedor rote la credencial.

Lección para los equipos de soporte y TI

El incidente recuerda que el soporte tecnológico moderno depende de herramientas de terceros con permisos muy amplios. Cuando una de ellas falla, el equipo de TI necesita saber rápido qué proveedores y aplicaciones tienen acceso, a quién afecta y qué solicitudes de usuarios están abiertas. Fuente: The Hacker News.

Para las organizaciones que gestionan incidentes de este tipo, Servigo365 ofrece una mesa de ayuda con tickets, historial por cliente, atención multicanal y SLA, de modo que cada reporte quede registrado, priorizado y con responsable. Contar con ese orden operativo facilita comunicar a los usuarios, documentar la respuesta y retomar la continuidad del servicio con menos fricción.

According to The Hacker News (October 17, 2026), Huntress found that attackers used a compromised credential of the ConnectWise Cloud Backup app (formerly SkyKick) to sign in to 173 Microsoft 365 tenants, belonging to both partners (managed service providers) and end customers. ConnectWise shut down the app's access "until further notice" and confirmed it is investigating unauthorized access to application identities.

What happened

  • The malicious activity was seen on October 15, over a window of a few hours, obtaining Microsoft Graph tokens with the app's credential.
  • The app holds broad permissions over mailboxes, OneDrive, SharePoint, Teams and directory data, and the credential works in every tenant where consent was granted.
  • In at least one partner tenant, another ConnectWise app added itself to the Global Administrator role and created new secrets on management apps.
  • ConnectWise says it has no evidence that partner backup data was compromised; the investigation is ongoing.

What to review

Published guidance includes disabling the app until the vendor confirms credentials were reset, enabling Microsoft Graph activity logs, auditing credentials added since October 13, and checking Entra for any ConnectWise or SkyKick app that assigned itself a directory role. Revoking user sessions is not enough: issued tokens can stay valid for up to 90 minutes and access persists until the vendor rotates the credential.

Lesson for support and IT teams

The incident is a reminder that modern IT support depends on third-party tools with very broad permissions. When one fails, the IT team needs to know quickly which vendors and apps have access, who is affected and which user requests are open. Source: The Hacker News.

For organizations handling incidents like this, Servigo365 provides a help desk with tickets, per-customer history, multichannel service and SLAs, so every report is logged, prioritized and assigned. That operational order makes it easier to communicate with users, document the response and restore service continuity with less friction.

← Volver al blog← Back to blog