ConnectWise, un proveedor clave de software de gestión de TI, ha inhabilitado temporalmente sus servicios de Cloud Backup, SaaS Security y Cloud Management tras un incidente de seguridad crítico. Actores de amenazas desconocidos obtuvieron acceso no autorizado a las identidades de aplicación de ConnectWise, lo que les permitió comprometer inquilinos de Microsoft 365 de sus clientes. La compañía identificó la actividad maliciosa el 14 de octubre de 2026 y ha tomado medidas inmediatas para contener el incidente, incluyendo la revocación de certificados y la suspensión de conexiones afectadas.
La gravedad de este ataque radica en que las identidades de aplicación comprometidas de ConnectWise, diseñadas para realizar tareas de respaldo y gestión, suelen poseer amplios permisos dentro de los entornos de Microsoft 365 de los clientes. Al acceder a estas credenciales, los atacantes pudieron solicitar tokens de acceso a Microsoft Entra ID (anteriormente Azure Active Directory), obteniendo así un acceso privilegiado a datos y servicios como buzones de correo, documentos de SharePoint, mensajes de Teams e información de directorio. Además, los atacantes tuvieron la capacidad de establecer persistencia añadiendo secretos de cliente a otras aplicaciones de confianza o creando nuevas aplicaciones con permisos elevados.
ConnectWise ha inhabilitado siete identidades de aplicación específicas y ha suspendido los servicios asociados para prevenir nuevas autenticaciones. Aunque los respaldos existentes permanecen cifrados y no hay evidencia de que hayan sido accedidos, las capacidades de respaldo y restauración están temporalmente no disponibles. La investigación sigue en curso para determinar el mecanismo exacto de exposición de las credenciales. Se aconseja a las organizaciones revisar sus propios inquilinos de Microsoft 365 y los de sus clientes administrados, buscando actividad sospechosa originada desde las direcciones IP identificadas: 144.172.64[.]128, 144.172.64[.]99 y 144.172.64[.]60, así como auditar exhaustivamente la autenticación de aplicaciones, las credenciales, los roles de directorio y las configuraciones de políticas. Controles de Microsoft Entra, como políticas de gestión de aplicaciones y Acceso Condicional para identidades de carga de trabajo, pueden mitigar daños.
Qué significa para tu empresa: Este incidente subraya la importancia crítica de la seguridad de terceros y la gestión de la identidad en entornos de nube. Cualquier proveedor con acceso a tu infraestructura, especialmente en plataformas como Microsoft 365, representa un punto potencial de vulnerabilidad. Es fundamental implementar controles robustos de identidad y MFA para todas las cuentas, incluyendo las de servicio, y asegurar un SOC con monitoreo 24/7 que pueda detectar y responder a actividades anómalas en tus aplicaciones y accesos, incluso aquellos que provienen de identidades de confianza comprometidas.
Fuente original: The Hacker News — ver artículo →