ConnectWise Cloud Backup: atacantes sequestraram as identidades Microsoft 365 do serviço e os MSP têm de auditar cada cliente
Alta Microsoft 365 Supply chain Cloud

A ConnectWise confirma um acesso não autorizado às identidades de aplicação do seu serviço Cloud Backup, antigo SkyKick, que se ligam aos ambientes Microsoft 365 dos prestadores de serviços geridos e dos seus clientes. O serviço está suspenso, sete identidades foram desativadas e cada parceiro deve verificar os seus tenants.

O que aconteceu

Em 16 de outubro de 2026, a ConnectWise comunicou um acesso não autorizado a identidades de aplicação do ambiente Cloud Backup, o seu serviço de cópias de segurança do Microsoft 365 para prestadores de serviços geridos (MSP), antes vendido como SkyKick. Estas identidades são as aplicações que os parceiros autorizam no Entra ID para que o serviço leia caixas de correio, Teams ou SharePoint. A ConnectWise suspendeu o Cloud Backup a 17 de outubro e, no mesmo dia, às 07:00 UTC, desativou sete identidades de aplicação (Cloud Backup e seis módulos Cloud Management), revogando as respetivas credenciais. Foi contratada uma empresa forense externa.

A 19 de outubro, Cloud Backup, SaaS Security e Cloud Management continuavam suspensos, sem data de regresso: não há cópias agendadas, acesso aos arquivos nem restauros. O fabricante diz não ter observado atividade maliciosa bem-sucedida desde as medidas de contenção.

Quem é afetado

Todos os MSP que usam estas ferramentas e todos os tenants de clientes ligados a elas, incluindo ligações inativas. Segundo o The Hacker News, que cita investigadores, a credencial comprometida foi usada para iniciar sessão em 173 tenants Microsoft 365. A ConnectWise garante que os arquivos de cópia continuam cifrados e isolados, mas admite não conseguir determinar sozinha se um dado tenant sofreu atividade não autorizada: essa verificação cabe a cada administrador.

O que fazer agora

  1. Exporte hoje os registos: o Entra ID só guarda inícios de sessão e auditoria 7 dias na versão gratuita e 30 dias em P1/P2. Descarregue-os em JSON, juntamente com a auditoria do Purview.
  2. Desative as aplicações no seu tenant: no Entra ID, Aplicações empresariais, procure cada Application ID publicado pela ConnectWise (por exemplo 506e08f9-6e9a-4da4-942b-a099a03644ae para o Cloud Backup), bloqueie o início de sessão e não apague nada por enquanto.
  3. Analise os inícios de sessão desde 13 de outubro (de preferência desde dia 1) à procura dos endereços 144.172.64.128, 144.172.64.99 e 144.172.64.60 e dos principais de serviço envolvidos.
  4. Examine a auditoria: segredos ou certificados adicionados a aplicações, novas aplicações, consentimentos, atribuições de funções, alterações ao acesso condicional, reencaminhamentos de correio e regras da caixa de entrada.
  5. Prepare uma cópia alternativa enquanto o serviço estiver parado.

A nossa opinião

Uma ferramenta de cópia de segurança tem direitos amplos e permanentes sobre todos os tenants que protege: se a sua identidade cair, todos os clientes ficam expostos de uma vez. Mantenha um inventário das aplicações de terceiros com acesso ao seu Microsoft 365, limite as suas permissões e guarde os registos durante mais tempo do que a plataforma faz por omissão.

Fontes

Como escolhemos, verificamos e escrevemos nossas análises →

A porta de entrada foi um terceiro. Verifique o que seus fornecedores expõem publicamente — sem intrusão, apenas informações públicas:

Verificar um fornecedor Verificar um servidor

Preocupado com a exposição dos seus servidores? Nossa equipe audita, corrige e monitora infraestruturas Linux e cloud 24/7.

Fale com um especialista Nossos serviços de gestão de servidores →
Voltar para todas as notícias