La brecha en ConnectWise Cloud Backup compromete más de 160 inquilinos de Microsoft 365

ConnectWise suspendió su servicio Cloud Backup el 17 de octubre después de que investigadores de seguridad confirmaron que los atacantes habían comprometido las credenciales de la plataforma y las usaron para acceder a entornos Microsoft 365 de sus clientes. El servicio, que ConnectWise adquirió de SkyKick, posee amplios permisos OAuth en los inquilinos gestionados por diseño, y ese alcance fue exactamente lo que hizo que esta brecha fuera tan grave.

La firma de seguridad Huntress identificó al menos 162 inquilinos comprometidos en su propio entorno de monitoreo. Dado que ConnectWise Cloud Backup se autentica como una aplicación y no como un usuario, el MFA nunca se aplicó. El atacante utilizó una herramienta de script para autenticarse directamente con el secreto de la aplicación robada, obteniendo acceso de lectura y escritura a correos, archivos de SharePoint, datos de OneDrive y chats de Teams en cada inquilino afectado.

La actividad maliciosa comenzó al menos el 13 de octubre, con intentos de script provenientes de la dirección IP 144.172.64[.]128. Todyl analizó nueve intrusiones y encontró solo actividad de inicio de sesión, sin creación de archivos, persistencia ni movimiento lateral en esos inquilinos. Microsoft confirmó la actividad y señaló que el atacante probablemente abusó de los permisos Directory.ReadWrite.All. En al menos un inquilino, una aplicación Cloud Management se usó para otorgarse a sí misma Global Administrator.

ConnectWise desconectó el servicio a las 05:01 UTC del 17 de octubre sin dar un cronograma de restauración. La empresa indicó que los archivos de respaldo existentes no están afectados y que no hay indicios de que los datos de respaldo de los socios hayan sido comprometidos, aunque el alcance total del acceso sigue sin determinarse.

Los proveedores de servicios gestionados que usan ConnectWise Cloud Backup o Cloud Management deben revisar inmediatamente los registros de inicio de sesión del service principal en Entra ID, filtrando por el ID de aplicación 506e08f9-6e9a-4da4-942b-a099a03644ae. Deshabilitar la aplicación detiene la emisión de nuevos tokens, pero no invalida los existentes. Los administradores también deben revisar cambios en credenciales u OAuth grants desde el 13 de octubre.

Este ataque sigue el patrón de actores maliciosos que apuntan a plataformas de respaldo y gestión porque llevan credenciales persistentes y privilegiadas por diseño. Una herramienta MSP que puede acceder a cada inquilino que gestiona es un único punto de fallo catastrófico si sus credenciales se filtran.

Reportado primero por BleepingComputer, con análisis adicional de Huntress y Todyl.