Un ataque a la cadena de suministro de ConnectWise compromete inquilinos de Microsoft 365

El 17 de octubre de 2026, ConnectWise interrumpió el acceso de clientes y partners a su servicio Cloud Backup, anteriormente SkyKick Cloud Backup, después de detectar accesos no autorizados a identidades de aplicaciones dentro de su entorno. Microsoft confirmó actividad maliciosa relacionada con el servicio y situó los primeros intentos de autenticación no autorizados el 15 de octubre.

Huntress identificó al menos 162 inquilinos de Microsoft 365 comprometidos en el entorno que supervisa. Microsoft Threat Intelligence calificó el incidente como un ataque activo a la cadena de suministro y señaló que el atacante probablemente abusó de permisos existentes, incluido Directory.ReadWrite.All.

Los atacantes se autenticaron directamente en Microsoft 365 como la aplicación de backup utilizando su secreto y aprovecharon los permisos concedidos previamente por los clientes. Según Todyl, ese acceso podía permitir leer y modificar correos y adjuntos, archivos de OneDrive y SharePoint, así como chats de Teams. Al tratarse de autenticaciones de aplicación ejecutadas mediante scripts, las protecciones basadas en el inicio de sesión de usuarios, como la autenticación multifactor, no resultaron eficaces.

Huntress observó en cerca de 50 inquilinos que varias aplicaciones de ConnectWise Cloud Management se asignaron roles de directorio, principalmente Exchange Administrator. En un caso, Cloud Management - MS Teams se concedió el rol Global Administrator y añadió credenciales a una herramienta de gestión de MSP y a la aplicación de Huntress. Microsoft también detectó actividad de persistencia, reconocimiento mediante Microsoft Graph y nuevos intentos de añadir credenciales.

ConnectWise afirmó que no dispone de indicios de que los datos de las copias de seguridad almacenadas hayan sido comprometidos. No obstante, el cierre del servicio no elimina las credenciales que los atacantes hayan podido introducir en los inquilinos. La empresa recomendó revisar los inicios de sesión de las entidades de servicio en Entra, mientras que Microsoft y Huntress aconsejaron comprobar cambios en credenciales de aplicaciones, concesiones OAuth y actividad relacionada con Graph.

La actividad maliciosa se vinculó a la dirección IP 144.172.64[.]128 y a varios agentes de usuario, entre ellos curl/7.88.1, python-urllib/3.12, python-requests/2.31 y python-requests/2.34.2. ConnectWise indicó que la interrupción del servicio se anunció a las 05:01 UTC del 17 de octubre, sin ofrecer un plazo para restablecerlo.

Fuente: BleepingComputer.