ConnectWise suspende Cloud Backup tras ataques a 173 entornos Microsoft 365
ConnectWise suspendió su servicio Cloud Backup después de confirmar que un actor malicioso obtuvo una credencial vinculada a la aplicación SkyKick y la utilizó para acceder sin autorización a entornos de Microsoft 365. La cifra más reciente eleva a 173 los tenants afectados o alcanzados por la actividad, convirtiendo el incidente en un caso serio de riesgo de cadena de suministro cloud.
La alerta es especialmente relevante para proveedores de servicios administrados y empresas que delegan sus copias de seguridad de Microsoft 365. Una integración de respaldo necesita permisos amplios para leer y proteger correo, archivos y otros recursos; si esa identidad es comprometida, el mismo acceso diseñado para recuperar datos puede convertirse en una vía privilegiada para el atacante.
Qué ocurrió con ConnectWise Cloud Backup
ConnectWise informó que un tercero obtuvo una credencial de la aplicación SkyKick utilizada por Cloud Backup. Según la información publicada, la credencial permitió iniciar sesión en entornos de clientes de Microsoft 365 y realizar cambios no autorizados. La compañía desconectó el servicio afectado, revocó el acceso comprometido y comenzó a notificar a socios y clientes potencialmente impactados.
La investigación de Censys identificó accesos sobre organizaciones de distintos sectores. La cifra inicial divulgada fue actualizada hasta 173 tenants de Microsoft 365. En parte de los casos observados, la actividad incluyó la desactivación del respaldo de SkyKick y modificaciones relacionadas con el acceso OAuth, acciones que pueden reducir la capacidad de recuperación y facilitar persistencia.
Por qué una credencial de respaldo tiene tanto alcance
Las plataformas de copia de seguridad cloud operan con permisos de aplicación para consultar y respaldar grandes volúmenes de información. Dependiendo de la configuración, esa autorización puede abarcar Exchange Online, SharePoint, OneDrive, calendarios, contactos, usuarios y grupos.
El problema no se limita al robo de archivos. Una identidad con permisos extensos puede permitir que un atacante:
- lea correo y documentos sensibles almacenados en Microsoft 365;
- busque secretos, contratos, credenciales o información útil para fraude;
- modifique configuraciones de acceso y reduzca controles defensivos;
- interrumpa o desactive respaldos para dificultar la recuperación;
- use una cuenta de confianza como puente hacia otros recursos corporativos.
Este patrón explica por qué los ataques contra proveedores tecnológicos generan un efecto multiplicador: el adversario no necesita vulnerar cada empresa por separado si consigue abusar de una integración compartida.
El riesgo para MSP y clientes de Microsoft 365
Los proveedores de servicios administrados deben tratar el incidente como una posible exposición de identidad cloud, no solo como una caída de backup. El acceso a un tenant puede dejar rastros en los registros de inicio de sesión, auditoría unificada, cambios de aplicaciones empresariales, consentimientos OAuth y políticas de acceso condicional.
La prioridad es determinar si la aplicación SkyKick estuvo presente, qué permisos tenía, si registró actividad anómala y si se realizaron cambios durante la ventana investigada. También es importante comprobar que las copias de seguridad sigan disponibles e íntegras y que no exista una identidad alternativa creada para mantener acceso.
Acciones inmediatas recomendadas
Las organizaciones que usen o hayan usado ConnectWise Cloud Backup con Microsoft 365 deberían coordinarse con su MSP y aplicar una revisión urgente:
- confirmar la recepción de una notificación de ConnectWise y validar el estado del servicio;
- revisar la aplicación empresarial SkyKick, sus permisos y sus credenciales activas en Microsoft Entra ID;
- revocar tokens y sesiones asociados cuando corresponda, siguiendo las instrucciones oficiales de remediación;
- examinar registros de inicio de sesión y auditoría en busca de accesos, consentimientos o cambios inesperados;
- verificar políticas de acceso condicional, cuentas privilegiadas, usuarios, grupos y aplicaciones agregadas recientemente;
- comprobar que los respaldos no fueron deshabilitados y ejecutar una prueba controlada de restauración;
- preservar evidencia y activar el plan de respuesta a incidentes si aparecen indicadores de acceso no autorizado.
No conviene eliminar información o rotar credenciales sin conservar primero los registros necesarios para la investigación. La remediación debe equilibrar contención, continuidad operacional y evidencia forense.
No hay un CVE: el centro del incidente es la identidad
Hasta ahora, la información pública describe el robo y abuso de una credencial de aplicación, no la explotación de una vulnerabilidad identificada con CVE. Esa diferencia importa: aplicar un parche tradicional no basta cuando el acceso comprometido reside en OAuth, tokens, secretos de aplicación o relaciones de confianza entre proveedores.
La respuesta adecuada incluye revocar la identidad afectada, revisar permisos, buscar persistencia y confirmar qué datos y configuraciones quedaron expuestos. También deja una lección para cualquier integración SaaS: los permisos de respaldo deben revisarse periódicamente, limitarse al mínimo necesario y mantenerse bajo monitoreo continuo.
Un incidente que obliga a revisar la confianza en la cadena cloud
ConnectWise suspendió Cloud Backup para contener el riesgo, una medida disruptiva pero coherente con el alcance potencial. Para los clientes, el desafío es doble: investigar un posible acceso a Microsoft 365 y asegurar que la protección de datos continúe mientras el servicio permanece desconectado.
Las empresas no deberían asumir que una copia de seguridad administrada es segura por definición. Deben exigir inventario de integraciones, visibilidad sobre permisos, rotación de secretos, registros auditables y procedimientos claros para revocar acceso sin perder capacidad de recuperación.