ConnectWise enfrenta ya el tercer día consecutivo de interrupciones en sus servicios en la nube, que tuvo que desconectar tras detectar una intrusión en sus sistemas el 16 de octubre.
El servicio afectado, ConnectWise Cloud Backup —anteriormente conocido como SkyKick—, ofrece a los proveedores de servicios gestionados (MSP) soluciones de respaldo y recuperación para proteger los entornos de Google Workspace y Microsoft 365 de sus clientes.
La compañía comunicó que identificó “intentos recientes de acceso no autorizado relacionados con el entorno de ConnectWise Cloud Backup”. De forma inmediata se activaron sus protocolos de respuesta ante incidentes, implementando medidas de contención para limitar el impacto. 
Poco menos de doce horas tras el aviso inicial, a las 5:00 UTC del 17 de octubre, ConnectWise decidió deshabilitar el acceso a Cloud Backup como medida preventiva. Ocho horas después, se suspendieron también los servicios CloudWise SaaS Security y Cloud Management como precaución adicional.
Accesos no autorizados a entornos Microsoft 365 de clientes
Según organizaciones de ciberseguridad como Huntress y Todyl, que monitorean los entornos de ConnectWise en nombre de sus clientes, el ataque comenzó al acceder la identidad de la aplicación a los tenants de Microsoft 365 desde un proveedor de hosting, obteniendo tokens de acceso a Microsoft Graph.
“Este comportamiento no es habitual en la aplicación”, explicó Huntress en su informe. Normalmente el tráfico legítimo procede desde direcciones IP privadas de Azure. A las 19:00 UTC del 16 de octubre se confirmaron accesos no autorizados en 162 tenants supervisados.
Todyl detalló que “dado que la aplicación contaba con amplios permisos concedidos previamente en cada tenant, estas conexiones permitieron al atacante leer y modificar correos, archivos en OneDrive y SharePoint, así como chats en Teams”.
En los dos entornos comprometidos que Huntress ha estado observando, la actividad tras el acceso fue “rápida, automatizada y marcadamente indiscriminada”.
La metodología detectada incluía que la aplicación se otorgaba a sí misma privilegios de administrador global y posteriormente implantaba un nuevo secreto en unas pocas aplicaciones dentro del tenant para mantener el acceso, aunque con ligeras variaciones en el lugar exacto de la implantación.
El incidente sigue activo
Desde el punto de vista de los MSP clientes de ConnectWise, como señaló la firma de seguridad CoreView, aunque se haya deshabilitado la posibilidad de nuevos inicios de sesión en las aplicaciones afectadas, “esto no implica que el incidente haya terminado para las empresas que ya tenían los principals de servicio comprometidos en sus tenants”.
ConnectWise también advirtió que la desactivación solo evita nuevas conexiones, pero no revierte cambios previamente realizados en los tenants afectados.
La compañía aseguró que los archivos de respaldo existentes permanecen cifrados, aislados y conservados, aunque esta protección no se extiende a los entornos activos de Microsoft 365.
Para el 19 de octubre, Huntress detectó actividad de inicio de sesión desde la dirección IP relacionada con el acceso no autorizado (144.172.64.128) en casi 1.000 tenants Entra, con más de 300 accesos exitosos.
Recomendaciones para MSPs
ConnectWise insta a sus socios a revisar sus propios tenants de Microsoft 365, así como los de cada cliente gestionado, incluyendo entornos con conexiones SkyKick inactivas.
Entre las indicaciones precisas que ofrece para las acciones a tomar destacan:
- Verificar el estado local y preservar evidencias del incidente.
- Revisar las conexiones de inicio de sesión desde al menos el 13 de octubre, o incluso desde el 1 de octubre, atendiendo especialmente a las direcciones IP indicadas por Huntress (144.172.64.128, 144.172.64.99 y 144.172.64.60).
- Examinar los eventos de auditoría del directorio.
- Comprobar credenciales y las relaciones de federación.
- Revisar roles, propietarios de aplicaciones y permisos otorgados.
- Controlar cualquier cambio en políticas de seguridad.
- Analizar actividades relacionadas con Exchange y otros recursos.
- Evaluar y documentar el estado de las conexiones restantes.
Más detalles están disponibles en la página de advertencias de ConnectWise, donde se actualizan regularmente las indicaciones según avanza la investigación.
Por su parte, Huntress recomienda acciones adicionales para los clientes afectados, como:
- Deshabilitar temporalmente ConnectWise Cloud Backup y Cloud Management – Microsoft Teams en los tenants comprometidos.
- Considerar deshabilitar otras IDs de aplicaciones de ConnectWise Cloud Management como medida preventiva.
- No eliminar las IDs de las aplicaciones, sino solo desactivarlas.
- Esperar la confirmación oficial de ConnectWise acerca del reinicio completo de credenciales antes de reactivar cualquier aplicación afectada.
