ConnectWise informó que el 17 de octubre deshabilitó siete identidades de aplicación tras identificar un incidente en el que actores desconocidos obtuvieron acceso no autorizado a esas identidades y comprometieron inquilinos de Microsoft 365. Como medida inmediata, la compañía revocó certificados usados por las conexiones de aplicación afectadas y suspendió el servicio Cloud Backup para todos los usuarios.
Qué ha pasado y qué funciones quedaron afectadas
La medida impide nuevas autenticaciones mediante las conexiones afectadas, aunque no revierte cambios que ya se hayan producido dentro de un inquilino. ConnectWise advirtió que los tokens de acceso previamente emitidos pueden seguir siendo válidos hasta que caduquen o se invaliden por separado, y que cualquier credencial o permiso creado por otras identidades requiere revisión y remediación adicional.
Como consecuencia de la suspensión, las copias programadas no se están ejecutando y el acceso a los archivos de copia y a las capacidades de restauración vinculadas a las identidades afectadas permanece indisponible. La compañía afirmó, no obstante, que los archivos de copia existentes permanecen cifrados, aislados y preservados, y que no hay evidencia hasta ahora de que hayan sido accedidos por los atacantes.
Cómo operaba el ataque y por qué es peligroso
El problema crítico es que, si se roban credenciales de una aplicación, un atacante puede autenticarse como esa aplicación frente a Microsoft Entra ID (antes Azure AD) y solicitar tokens de acceso según los permisos ya concedidos a la aplicación. Según la explicación pública, con permisos amplios para realizar copias y tareas de gestión, la aplicación comprometida podía dar acceso a correo, SharePoint, Teams y datos de directorio sin necesidad de robar contraseñas de usuarios individuales.
Además, un actor malicioso puede intentar escalar privilegios dentro de un inquilino: añadir la aplicación a roles administrativos, agregar secretos de cliente a otras aplicaciones de confianza o crear nuevas aplicaciones con permisos. Esos secretos de cliente permiten autenticarse como la aplicación y establecer persistencia, de modo que el atacante podría recuperar acceso aunque se revoque la credencial original.
Investigación, detección y actividad observada
ConnectWise dijo que identificó el incidente el 14 de octubre mediante su monitorización avanzada y activó acciones internas y externas de investigación y respuesta. Desde la implementación de las mitigaciones no han observado actividad maliciosa adicional en los entornos que monitorean, aunque reconocen que no pueden verificar directamente el estado de los inquilinos de sus clientes.
Un proveedor de seguridad, Huntress, describió actividad maliciosa entre el 15 de octubre y observó intentos de acceso desde una dirección IP concreta; en total, identificaron casi 1.000 inicios de sesión en Entra desde esa IP, con unos 300 accesos exitosos. Huntress también señaló intentos dirigidos contra aplicaciones relacionadas con Exchange Online, Teams y SharePoint y confirmó abuso de la aplicación de Teams en al menos un inquilino.
Qué deben hacer los administradores y propietarios de webs
Administradores de sistemas y responsables de seguridad que usan ConnectWise o que integran aplicaciones de terceros con Microsoft 365 deberían:
- Revisar registros de actividad de Entra ID y los inicios de sesión sospechosos, especialmente alrededor de las fechas señaladas.
- Comprobar si existen nuevas aplicaciones, secretos de cliente o cambios en roles administrativos dentro de sus inquilinos y revocar credenciales no reconocidas.
- Validar que las copias de seguridad externas y los procesos de restauración estén intactos y, si hace falta, preparar procedimientos alternativos de recuperación.
- Aplicar controles de Entra recomendados: limitar quién puede gestionar aplicaciones, revisar políticas de gestión de credenciales y considerar restricciones de acceso geográfico y caducidad de secretos.
- Comunicar con su proveedor de MSP o con ConnectWise para confirmar el alcance en cada entorno y las acciones de mitigación adicionales.
ConnectWise también ha desconectado temporalmente sus servicios SaaS Security y Cloud Management mientras completa la revisión. En esta fase no está claro si una vulnerabilidad de producto contribuyó al compromiso; la causa exacta de la exposición de credenciales sigue bajo análisis.
Lee también:
- Nextcloud confirma vulnerabilidad crítica CVE-2026-110447 con puntuación CVSS 9.2
- Un modelo de investigación de OpenAI gastó ETH de prueba ajeno para desplegar un contrato
Fuente: The Hacker News
