ConnectWise mantiene Cloud Backup suspendido tras el abuso de identidades en Microsoft 365

ConnectWise mantiene suspendido Cloud Backup, el servicio de respaldo de Microsoft 365 que antes operaba bajo la marca SkyKick, después de detectar accesos no autorizados a identidades de aplicación. Para los MSP que dependían de la plataforma, el impacto es doble: hubo actividad en entornos de clientes y, mientras sigue la respuesta, no se ejecutan nuevas copias programadas ni se pueden restaurar los archivos alojados en los archivos de Cloud Backup. La empresa no ha dado una hora de vuelta.

Una credencial de aplicación abre otro camino

ConnectWise comunicó que el 17 de octubre deshabilitó siete identidades de aplicación asociadas a sus conexiones de Microsoft 365 y revocó los certificados utilizados por ellas. La empresa dice que las credenciales compartidas de Cloud Backup ya no son válidas, pero advierte que los tokens de acceso emitidos antes de la revocación pueden seguir funcionando hasta que caduquen o se invaliden. También distingue su acción en el servicio de lo que debe comprobarse dentro de cada tenant de cliente.

-InfraCrew dice: Una credencial revocada cierra una puerta; no borra las huellas que dejó alguien al pasar.-

La diferencia importa porque una aplicación autorizada actúa con los permisos concedidos por el cliente. Un service principal es la identidad de esa aplicación dentro de un tenant: no es una persona que vaya a aprobar un segundo factor, y el acceso efectivo depende de los permisos y credenciales que tenga asociados. Huntress observó autenticaciones desde 144.172.64.128, una dirección que no correspondía al patrón normal de conexión del servicio, y avisó de actividad sobre más de una aplicación de ConnectWise.

Huntress amplió el alcance de su análisis el 17 de octubre: encontró actividad de inicio de sesión desde esa dirección en casi 1.000 tenants de Entra ID, con más de 300 autenticaciones satisfactorias. Ese número describe inicios de sesión que tuvieron éxito, no mil organizaciones confirmadas como comprometidas ni prueba de que se leyeran o extrajeran datos. En algunos entornos la ausencia de la aplicación impidió que el intento llegara a obtener acceso.

En un tenant investigado por Huntress, una segunda aplicación, ConnectWise Cloud Management para Microsoft Teams, se asignó el rol de administrador global y añadió credenciales a otras dos aplicaciones. Es una observación de un entorno concreto, no una descripción automática de todos los clientes, pero cambia la revisión: apagar la conexión conocida no basta si durante la intrusión se añadieron secretos o permisos a otras identidades.

-InfraCrew dice: En una intrusión de aplicaciones, mirar solo el usuario humano es como revisar la puerta principal cuando la integración entra por el muelle de carga.-

Comprueba el acceso y el hueco de recuperación

El Trust Center de ConnectWise indica que los archivos de backup existentes siguen cifrados, aislados y preservados, y que la empresa no tiene evidencia de que se hayan accedido. Eso no confirma que los tenants de Microsoft 365 quedaran indemnes: ConnectWise dice que no puede determinarlo desde sus sistemas y remite esa evaluación a cada organización y a sus proveedores de seguridad.

Los administradores deben buscar las aplicaciones por su ID, no solo por el nombre visible: el de Cloud Backup es 506e08f9-6e9a-4da4-942b-a099a03644ae y el de Cloud Management para Teams es 24205314-2b89-4e07-a2a4-579e898a5640. Verifica en cada tenant que las identidades estén deshabilitadas, revisa los inicios de sesión de aplicaciones y de service principals, y busca cambios inesperados de credenciales, consentimiento, roles y acceso a Exchange, SharePoint o Teams. Conserva los registros y sus marcas de tiempo antes de limpiar cambios; el Trust Center advierte que la retención disponible varía según la licencia.

La interrupción de backup y restauración también exige una comprobación de continuidad independiente del análisis de seguridad. Confirma qué datos han cambiado desde el último punto recuperable, cuándo corrió por última vez cada job y qué alternativa de restauración está disponible fuera de Cloud Backup. Los archivos preservados no son una recuperación utilizable mientras el acceso esté cortado, y los cambios recientes de Microsoft 365 pueden quedarse fuera de los puntos de recuperación existentes.

-InfraCrew dice: Una copia que existe pero no se puede restaurar sigue siendo un archivo; todavía no es un plan de recuperación.-

ConnectWise no ha publicado una hora de restablecimiento y pide no confundir la suspensión del servicio con una confirmación de compromiso de cada cliente. No reactivaría las aplicaciones ni daría por cerrada la investigación basándome solo en que una búsqueda por IP salga limpia: la identidad puede cambiar de credenciales o usar otros recursos, y la propia Huntress recomienda mantener deshabilitadas las aplicaciones afectadas hasta que el proveedor confirme la rotación completa.

Diccionario de la Crew

Service principal — identidad que representa una aplicación dentro de un tenant de Microsoft Entra ID y permite autenticarla con los permisos concedidos.

Tenant — instancia aislada de Microsoft 365 y Entra ID que pertenece a una organización o cliente.

Punto de recuperación — estado de los datos que una copia permite restaurar a una hora determinada.