ConnectWise desactiva identidades de aplicaciones tras la vulneración de inquilinos de Microsoft 365

ConnectWise ha deshabilitado siete de sus identidades de aplicación y suspendido su servicio Cloud Backup tras un incidente de seguridad en el que actores de amenazas obtuvieron acceso no autorizado a dichas identidades. La brecha, identificada el 14 de octubre de 2026, permitió a los atacantes comprometer inquilinos de Microsoft 365 pertenecientes a clientes de ConnectWise, lo que llevó al proveedor de software de gestión de TI a tomar medidas inmediatas de mitigación el 17 de octubre de 2026.

Qué ocurrió

El 17 de octubre de 2026, a las 07:00 UTC, ConnectWise actuó con decisión al deshabilitar siete identidades de aplicación específicas y revocar los certificados utilizados para las conexiones de aplicaciones afectadas en todos los usuarios. Esta medida suspendió efectivamente el servicio Cloud Backup, deteniendo las copias de seguridad programadas e inhabilitando temporalmente las capacidades de restauración. La empresa declaró que, aunque los archivos de copia de seguridad existentes permanecen cifrados, aislados y preservados sin evidencia de violación, las credenciales compartidas de Cloud Backup ya no son válidas. ConnectWise también desconectó temporalmente sus servicios SaaS Security y Cloud Management como medida de precaución mientras continúa investigando el incidente.

Las identidades de aplicación comprometidas incluyen ConnectWise Cloud Backup y seis variantes de ConnectWise Cloud Management que cubren MS Teams, Exchange Online, MS Graph, Partner Center y SharePoint Online. ConnectWise enfatizó que deshabilitar estas conexiones impide nuevas autenticaciones, pero no revierte ningún cambio realizado previamente dentro del inquilino de un cliente. Los tokens de acceso emitidos anteriormente pueden seguir siendo utilizables hasta que expiren, lo que significa que cualquier credencial o permiso no autorizado establecido a través de identidades separadas requiere una revisión y remediación adicional por parte de los socios y clientes afectados.

Cómo funciona

Este incidente destaca los riesgos asociados con las credenciales de entidades de servicio (service principals) en entornos cloud. En lugar de robar contraseñas individuales de usuarios, los atacantes obtuvieron las credenciales de las identidades de aplicación. Al autenticarse como la propia aplicación, los actores de amenazas pudieron solicitar tokens de acceso desde Microsoft Entra ID basándose en los extensos permisos ya otorgados a las herramientas de ConnectWise para tareas de respaldo y gestión. Este método permite a un atacante evadir las protecciones de autenticación multifactor típicamente vinculadas a las cuentas de usuario.

Una vez autenticados como la aplicación, los atacantes podrían haber accedido potencialmente a buzones de correo, documentos de SharePoint, mensajes de Teams e información del directorio. Más críticamente, podrían haber ampliado su acceso añadiendo la aplicación comprometida al rol de Administrador Global, creando nuevas aplicaciones y añadiendo secretos de cliente a otras aplicaciones de confianza en el inquilino. Estos nuevos secretos de cliente proporcionan una puerta trasera persistente, permitiendo a los atacantes recuperar el acceso incluso si se revoca la credencial original comprometida. Este mecanismo de persistencia hace que la remediación sea compleja, ya que simplemente rotar la contraseña o el certificado inicial es insuficiente si se han plantado nuevos secretos.

Detalles clave

• ConnectWise deshabilitó siete identidades de aplicación el 17 de octubre de 2026, incluyendo Cloud Backup y varios servicios de Cloud Management.
• El problema fue identificado el 14 de octubre de 2026 mediante monitoreo interno de ciberseguridad, aunque el mecanismo exacto de exposición de credenciales sigue bajo análisis.
• Huntress observó inicios de sesión maliciosos desde la dirección IP "144.172.64[.]128" y confirmó el abuso de la aplicación Teams en al menos un inquilino.
• Una segunda ola de intentos dirigidos ocurrió el 15 de octubre, enfocándose en 16 inquilinos en sectores de política, seguridad nacional y minerales críticos, pero resultó infructuosa.
• De casi 1,000 inquilinos de Entra con actividad de inicio de sesión desde la IP sospechosa, 300 fueron exitosos, aunque algunos fueron bloqueados debido a la ausencia de una entidad de servicio.
• Se informa que los archivos de copia de seguridad existentes están cifrados e intactos, pero las copias de seguridad programadas están actualmente detenidas.

Por qué importa

Para desarrolladores de software y líderes de TI que gestionan entornos de Microsoft 365, este incidente subraya la importancia crítica de asegurar las entidades de servicio y los permisos de aplicación. A diferencia de los ataques centrados en usuarios, comprometer una identidad de aplicación otorga un acceso amplio y automatizado que puede ser difícil de detectar sin registros de auditoría rigurosos. La capacidad de los atacantes para plantar nuevos secretos de cliente significa que los límites de confianza dentro del inquilino pueden alterarse permanentemente, requiriendo una revisión exhaustiva de todos los registros de aplicaciones y concesiones de consentimiento.

La naturaleza de cadena de suministro de este ataque también demuestra cómo las vulnerabilidades en las herramientas de proveedores de servicios gestionados pueden propagarse a cientos de clientes downstream. Incluso si una vulnerabilidad del producto no causó directamente la brecha, los extensos permisos otorgados a las herramientas de gestión crean un objetivo de alto valor. Las organizaciones deben asumir que cualquier aplicación con privilegios elevados podría ser un vector para movimiento lateral, lo que exige controles más estrictos sobre quién puede gestionar las credenciales de aplicación y cómo se almacenan y rotan dichas credenciales.

Qué puedes hacer

• Revisa los registros de inicio de sesión de tu inquilino de Microsoft 365 y de todos los inquilinos de clientes gestionados desde el 13 de octubre de 2026 en adelante, filtrando específicamente la actividad desde la dirección IP "144.172.64[.]128".
• Verifica el estado de las siete identidades de aplicación de ConnectWise deshabilitadas y asegúrate de que permanezcan deshabilitadas hasta nuevo aviso del proveedor.
• Preserva todos los registros disponibles de inicio de sesión y auditoría antes de iniciar cualquier paso de contención o limpieza para mantener la integridad forense.
• Audita las credenciales de aplicación, las relaciones de confianza de federación, los roles de directorio y los cambios recientes de políticas para identificar cualquier adición o modificación no autorizada.
• Busca reglas de reenvío de buzón, reglas de bandeja de entrada, reglas de transporte y acceso delegado a buzones no autorizados que puedan haber sido creados durante la brecha.
• Implementa políticas de gestión de aplicaciones para restringir los secretos de cliente en los registros de aplicaciones y limitar la vida útil de las credenciales para reducir la ventana de oportunidad para los atacantes.