🔴 SEVERIDAD CRÍTICA 17 Oct 2026 16:05

Alerta crítica: credencial de ConnectWise expone 173 entornos Microsoft 365

connectwise microsoft 365 skykick cloud backup oauth cadena de suministro ioc

// resumen_ejecutivo

Una credencial robada de SkyKick fue usada para acceder a 173 tenants de Microsoft 365. ConnectWise suspendió Cloud Backup y notificó a organizaciones afectadas.

// descripcion_detallada

ConnectWise suspendió Cloud Backup tras confirmar el robo de una credencial asociada a la aplicación SkyKick. La identidad fue utilizada para acceder sin autorización a 173 entornos de Microsoft 365.

La actividad observada incluyó accesos a tenants, desactivación del servicio de respaldo en algunos casos y cambios relacionados con OAuth. Debido a los permisos amplios que requieren las plataformas de backup, el incidente puede afectar correo, archivos, identidades y configuraciones de seguridad.

Impacto potencial

Acceso a correo y documentos de Microsoft 365.
Exposición de secretos, información corporativa y datos personales.
Modificación de aplicaciones, usuarios, grupos o controles de acceso.
Interrupción de copias de seguridad y mayor dificultad de recuperación.
Persistencia mediante identidades o autorizaciones OAuth.

No se ha asignado un CVE: la información pública apunta al robo y abuso de una credencial de aplicación.

// vectores_de_ataque

Cadena de suministro cloud mediante credencial robada de la aplicación SkyKick; acceso OAuth/API a tenants de Microsoft 365; abuso de permisos de aplicación con alcance amplio.

// versiones_afectadas

Organizaciones que utilizan ConnectWise Cloud Backup, basado en SkyKick, para proteger entornos Microsoft 365. ConnectWise notificó a los clientes identificados como potencialmente afectados.

// recomendaciones_de_mitigacion

Acciones inmediatas

Confirmar con ConnectWise o el MSP si el tenant está entre los afectados.
Revisar la aplicación empresarial SkyKick, permisos concedidos, secretos y actividad reciente en Microsoft Entra ID.
Revocar tokens, sesiones y credenciales comprometidas siguiendo las instrucciones oficiales.
Auditar inicios de sesión, consentimientos OAuth, cambios de acceso condicional, usuarios, grupos y aplicaciones.
Comprobar que los respaldos estén activos e íntegros y realizar una prueba controlada de restauración.
Buscar mecanismos de persistencia y preservar evidencia antes de efectuar cambios destructivos.
Activar respuesta a incidentes si aparecen accesos o modificaciones no autorizadas.