ConnectWise suspende Cloud Backup tras detectar accesos no autorizados a Microsoft 365

ConnectWise suspendió el acceso de su aplicación Cloud Backup después de identificar accesos no autorizados a identidades de aplicación en su entorno. La medida, comunicada el 17 de octubre, interrumpe temporalmente los respaldos de clientes. La empresa indica que, hasta ahora, no tiene evidencia de que se haya accedido a los datos de respaldo almacenados; la investigación sigue abierta.

Huntress detectó que una credencial de ConnectWise Cloud Backup, antes conocido como SkyKick, se utilizó para obtener acceso no autorizado a entornos de Microsoft 365 de clientes. El riesgo no depende de que un atacante conozca la contraseña de cada usuario: la aplicación de respaldo ya tenía permisos concedidos en los entornos donde estaba instalada. Huntress también investiga un caso en que otra aplicación de ConnectWise obtuvo privilegios de administrador global y agregó credenciales a otras aplicaciones. Deshabilitar solo la aplicación de respaldo no eliminaría esas credenciales adicionales. (huntress.com)

Si tu empresa o tu proveedor de servicios usa Cloud Backup, revisa las aplicaciones empresariales autorizadas en Microsoft Entra y los registros de inicio de sesión de las identidades de aplicación. ConnectWise publicó la dirección IP observada en la actividad sospechosa, pero advierte que encontrar ese indicador, por sí solo, no confirma un compromiso. Huntress recomienda deshabilitar temporalmente las aplicaciones afectadas, revisar si se añadieron credenciales a otras aplicaciones y no restablecer el acceso hasta que ConnectWise confirme la rotación de las credenciales comprometidas.

Para equipos de TI, la prioridad es determinar qué permisos tenía el servicio en cada entorno, preservar los registros para la investigación y coordinar con ConnectWise cómo se mantendrán los respaldos durante la interrupción. (huntress.com)