ConnectWise Cloud Backup: atacantes secuestraron las identidades de Microsoft 365 del servicio y los MSP deben auditar cada cliente

ConnectWise confirma un acceso no autorizado a las identidades de aplicación de su servicio Cloud Backup, antes SkyKick, que se conectan a los entornos Microsoft 365 de los proveedores de servicios gestionados y sus clientes. El servicio está suspendido, se han desactivado siete identidades y cada socio debe revisar sus tenants.

Qué ha pasado

El 16 de octubre de 2026, ConnectWise informó de un acceso no autorizado a identidades de aplicación del entorno de Cloud Backup, su servicio de copias de seguridad de Microsoft 365 para proveedores de servicios gestionados (MSP), comercializado antes como SkyKick. Estas identidades son las aplicaciones que los socios autorizan en Entra ID para que el servicio lea buzones, Teams o SharePoint. ConnectWise suspendió Cloud Backup el 17 de octubre y ese mismo día, a las 07:00 UTC, desactivó siete identidades de aplicación (Cloud Backup y seis módulos de Cloud Management) y revocó sus credenciales. Ha contratado a una firma forense externa.

El 19 de octubre, Cloud Backup, SaaS Security y Cloud Management seguían suspendidos, sin fecha de vuelta: no hay copias programadas, ni acceso a los archivos, ni restauraciones. El fabricante afirma no haber visto actividad maliciosa exitosa desde sus medidas de contención.

A quién afecta

A todos los MSP que usan estas herramientas y a todos los tenants de clientes conectados, incluidas las conexiones inactivas. Según The Hacker News, que cita a investigadores, la credencial comprometida se usó para iniciar sesión en 173 tenants de Microsoft 365. ConnectWise asegura que los archivos de copia siguen cifrados y aislados, pero admite que no puede determinar por sí sola si un tenant concreto sufrió actividad no autorizada: esa comprobación corresponde a cada administrador.

Qué hacer ahora

1. Exporte hoy los registros: Entra ID solo guarda los inicios de sesión y la auditoría 7 días en la versión gratuita y 30 días en P1/P2. Descárguelos en JSON, junto con la auditoría de Purview.
2. Desactive las aplicaciones en su tenant: en Entra ID, Aplicaciones empresariales, busque cada Application ID publicado por ConnectWise (por ejemplo 506e08f9-6e9a-4da4-942b-a099a03644ae para Cloud Backup), bloquee el inicio de sesión y no borre nada todavía.
3. Revise los inicios de sesión desde el 13 de octubre (mejor desde el 1) buscando las direcciones 144.172.64.128, 144.172.64.99 y 144.172.64.60 y las entidades de servicio afectadas.
4. Examine la auditoría: secretos o certificados añadidos a aplicaciones, aplicaciones nuevas, consentimientos, asignaciones de roles, cambios de acceso condicional, reenvíos de correo y reglas de bandeja de entrada.
5. Prevea una copia alternativa mientras el servicio siga parado.

Nuestra opinión

Una herramienta de copia de seguridad tiene derechos amplios y permanentes sobre todos los tenants que protege: si cae su identidad, todos sus clientes quedan expuestos a la vez. Mantenga un inventario de las aplicaciones de terceros con acceso a su Microsoft 365, limite sus permisos y conserve los registros más tiempo del que ofrece la plataforma por defecto.

Fuentes

• ConnectWise Trust Center — Advisory on Cloud Backup Service Interruption
• ConnectWise — Cloud Backup technical investigation and remediation guide
• ConnectWise Status — Cloud Backup security issue
• The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
• The Hacker News — ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants

Cómo elegimos, verificamos y redactamos nuestros análisis →