ConnectWise suspende sus servicios de copia de seguridad en la nube tras una brecha de identidad de aplicación

ConnectWise ha suspendido su servicio Cloud Backup e iniciado un reinicio generalizado de credenciales tras detectar accesos no autorizados a identidades de aplicación. La empresa comenzó a implementar mitigaciones el 17 de octubre de 2026, tres días después de identificar por primera vez el incidente de seguridad. Esta respuesta incluye la desactivación de las conexiones afectadas y la contratación de especialistas externos para gestionar el proceso de remediación.

Qué ocurrió

El incidente de seguridad tuvo como objetivo específico las identidades de aplicación asociadas con ConnectWise Cloud Backup. En respuesta, ConnectWise desactivó las conexiones de aplicación afectadas y suspendió por completo el servicio Cloud Backup. Como medida de precaución, la empresa también suspendió otros dos servicios integrados: SaaS Security y Cloud Management. Estas suspensiones se mantienen vigentes mientras la compañía valida la eficacia de sus medidas de contención.

ConnectWise declaró que ha reforzado las protecciones de acceso administrativo, reiniciado cuentas y reemplazado las credenciales de aplicación. La empresa enfatizó que no ha observado ninguna actividad exitosa de amenazas en los entornos que monitorea directamente. Sin embargo, aclaró que esta observación no garantiza que los inquilinos individuales de Microsoft 365 de socios o clientes estén libres de afectación. ConnectWise instó a los socios a revisar cada inquilino potencialmente afectado individualmente antes de reconectar cualquier aplicación.

La firma independiente de ciberseguridad Huntress proporcionó contexto adicional al compartir indicadores de compromiso (IoC) observados en relación con la actividad. Los investigadores de Huntress revisaron los inicios de sesión de aplicaciones en más de 10.000 inquilinos que utilizaban aplicaciones de ConnectWise. Identificaron direcciones IP específicas vinculadas al incidente, señalando que solo una dirección produjo actividad real de inicio de sesión de aplicación, mientras que otras estaban asociadas con ataques de pulverización de contraseñas que podrían ser ajenos.

Cómo funciona

El vector de ataque involucró el acceso no autorizado a credenciales de proveedores, lo que permitió al actor de amenazas realizar inicios de sesión de aplicación. Según Huntress, la dirección IP principal asociada con estos inicios de sesión de aplicación fue 144.172.64[.]128. Una vez dentro de un inquilino, los atacantes siguieron un modus operandi consistente. La aplicación comprometida se otorgó a sí misma privilegios de Administrador Global, un permiso de alto nivel que proporciona control extenso sobre el entorno de Microsoft 365.

Tras escalar los privilegios, los atacantes añadieron nuevos secretos a un pequeño número de otras aplicaciones registradas dentro del inquilino. Esta técnica asegura la persistencia, permitiendo al atacante mantener el acceso incluso si el punto de entrada inicial es descubierto y cerrado. Huntress señaló que la elección de qué aplicaciones puerta trasera parecía aleatoria, sin considerar lo que esas aplicaciones podían hacer realmente. El único criterio consistente era estructural: las credenciales fueron plantadas en aplicaciones registradas dentro del inquilino afectado.

Aunque los atacantes probablemente utilizaron este acceso para leer datos del directorio mediante Microsoft Graph, actualmente no hay indicios de que hayan armado dicho acceso para manipulación de buzones, robo de archivos o cambios de políticas. Se observaron otras direcciones IP en el mismo rango de proveedor realizando amplios ataques de pulverización de contraseñas, pero Huntress determinó que era poco probable que estuvieran relacionados con la actividad específica de inicio de sesión de aplicación dirigida a las identidades de ConnectWise.

Detalles clave

• ConnectWise comenzó las mitigaciones el 17 de octubre de 2026, a las 5:00 a.m. UTC, tres días después de identificar el incidente.
• Los servicios Cloud Backup, SaaS Security y Cloud Management están actualmente suspendidos como precaución.
• El indicador principal de compromiso para los inicios de sesión de aplicación es la dirección IP 144.172.64[.]128.
• Los atacantes escalaron privilegios otorgando a la aplicación comprometida derechos de Administrador Global.
• La persistencia se logró añadiendo nuevos secretos a otras aplicaciones seleccionadas aleatoriamente dentro del inquilino.
• ConnectWise ha publicado orientación técnica para ayudar a los socios a investigar posibles actividades no autorizadas.

Por qué importa

Este incidente destaca los riesgos inherentes a las dependencias de la cadena de suministro, especialmente cuando los proveedores de servicios gestionados (MSP) tienen acceso de alta privacidad a los entornos de los clientes. Para los líderes de TI y los ingenieros de seguridad, el compromiso de las identidades de aplicación es particularmente preocupante porque evade los controles de seguridad tradicionales centrados en el usuario, como la autenticación multifactor. Cuando una identidad de aplicación está comprometida, el atacante opera con los permisos otorgados a esa cuenta de servicio, que en este caso incluía la capacidad de elevarse a Administrador Global.

La suspensión de servicios críticos como Cloud Backup y SaaS Security demuestra el impacto operativo de dichas brechas. Las organizaciones que dependen de estas herramientas para la protección de datos y la monitorización de seguridad deben ahora navegar por un período de visibilidad y resiliencia reducidas. Además, la advertencia de ConnectWise de que los inquilinos individuales pueden seguir afectados traslada la carga de la investigación a los socios y clientes. Esto requiere un esfuerzo significativo para preservar evidencias, validar hallazgos y evaluar impactos operativos antes de restaurar los servicios.

Qué puede hacer

• Revise la orientación técnica publicada por ConnectWise para investigar posibles actividades no autorizadas en su entorno.
• Preserve las evidencias relevantes y valide los hallazgos antes de realizar cualquier cambio en su inquilino de Microsoft 365.
• Compruebe sus registros en busca de inicios de sesión de aplicación desde la dirección IP 144.172.64[.]128.
• No reconecte las aplicaciones afectadas hasta que ConnectWise proporcione instrucciones formales de restauración.
• Audite su inquilino en busca de cualquier secreto desconocido añadido a aplicaciones registradas, especialmente aquellas con altos privilegios.
• Evalúe el impacto operativo de los servicios suspendidos Cloud Backup y SaaS Security en sus planes de continuidad de negocio.