RespuestasPublicado23 fuentes
Ataque a ConnectWise Cloud Backup: qué deben revisar los administradores de Microsoft 365
Huntress reportó inicios de sesión no autorizados en 173 tenants de Microsoft 365 mediante una credencial comprometida de ConnectWise Cloud Backup. Como el acceso se realizó con la identidad de una aplicación de confianza y no con cuentas de usuario, la MFA de usuarios no formó parte de ese flujo de autenticación.
Publicado porEditado con GPT-6 LunaImágenes generadas con GPT Image 2
Respuesta de investigación
Conclusiones clave
- Huntress reportó inicios de sesión no autorizados en 173 tenants de Microsoft 365 mediante una credencial comprometida de ConnectWise Cloud Backup.
- Como el acceso se realizó con la identidad de una aplicación de confianza y no con cuentas de usuario, la MFA de usuarios no formó parte de ese flujo de autenticación.
- El número total de organizaciones afectadas y el alcance de cualquier robo de datos siguen sin estar claros; se recomienda revisar también otras aplicaciones y credenciales.
Prompt de IA
openai.comCreate a landscape editorial hero image for this Studio Global article: What is known about the Microsoft 365 supply-chain attack that prompted ConnectWise to suspend customer access to Cloud Backup, formerly Sky. Article summary: The reported attack used a compromised ConnectWise Cloud Backup application credential to enter customers’ Microsoft 365 tenants through an already-trusted integration, rather than by compromising individual user account. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
Una credencial comprometida de ConnectWise Cloud Backup —antes llamada SkyKick— se utilizó para obtener tokens de acceso de Microsoft Graph en distintos tenants de Microsoft 365. Huntress informó de inicios de sesión no autorizados en 173 tenants de socios y clientes, pero esa cifra no significa que se haya confirmado el robo de datos en todos ellos. El alcance total y el origen de la credencial comprometida siguen sin conocerse. 1
6
9
Qué ocurrió
Microsoft describió el incidente como un ataque a la cadena de suministro que involucró una aplicación OAuth de confianza comprometida. Los clientes ya habían concedido permisos a la aplicación multiinquilino de Cloud Backup para que operara en sus entornos; según los investigadores, el atacante aprovechó esos permisos existentes para obtener tokens en varios tenants. Entre ellos había permisos amplios de acceso al directorio, como Directory.ReadWrite.All. 9
15
La cifra comunicada por Huntress pasó de 162 tenants a las 19:00 UTC del 16 de octubre a 173 en una actualización posterior. Se trata de inicios de sesión no autorizados confirmados, no de un recuento definitivo de organizaciones afectadas ni de una prueba de que se extrajera información de cada tenant. 1
6
9
Cronología y dirección IP reportada
Huntress observó que la aplicación obtuvo tokens de Microsoft Graph desde 144.172.64[.]128 entre las 06:13 y las 08:34 UTC del 15 de octubre. El rápido paso de un tenant a otro apuntaba a una actividad automatizada. La firma también reportó intentos fallidos de password spraying —probar contraseñas comunes contra varias cuentas— en cuatro tenants de bufetes de abogados, desde la misma dirección IP, los días 13 y 14 de octubre. Esos intentos previos no permiten determinar cómo se comprometió la credencial de Cloud Backup. 1
5
20
Por qué la MFA de usuarios no detuvo los inicios de sesión
La actividad se autenticó como una identidad de aplicación, también llamada entidad de servicio, y no como un usuario individual. Por eso, la MFA configurada para usuarios no formó parte de ese flujo. Esto no es lo mismo que un atacante que logra eludir la MFA de una cuenta de usuario. 7
11
Los permisos existentes de la aplicación podían permitir el acceso a recursos de Microsoft 365 como correo, OneDrive, SharePoint, Teams y datos del directorio. Pero tener ese alcance potencial no demuestra que se hayan leído todos esos recursos. En su análisis de nueve tenants, Todyl reportó los inicios de sesión no autorizados; ese hallazgo limitado no permite establecer qué ocurrió en otros entornos. 6
19
29
También se encontraron señales de persistencia
Huntress reportó asignaciones de roles de directorio realizadas por las propias aplicaciones en cerca de 50 tenants. En un caso observado, una aplicación de administración de Teams se asignó el rol de Administrador global y añadió credenciales a otras aplicaciones, incluida una herramienta de gestión de un proveedor de servicios gestionados (MSP) y una aplicación de Huntress. Esas credenciales añadidas podrían abrir vías de acceso independientes de la integración original de Cloud Backup. 1
9
Por eso, desactivar la integración del proveedor por sí sola podría no revertir todos los cambios realizados durante la intrusión. Los administradores también deberían buscar secretos de aplicaciones desconocidos y asignaciones de roles inesperadas. 1
13
Qué se sabe —y qué no— sobre las copias de seguridad
ConnectWise dijo que no tenía indicios de que se hubiera accedido a los datos de las copias de seguridad de sus socios y señaló que los archivos existentes estarían disponibles cuando se restableciera el servicio. Esa afirmación se refiere a los archivos de respaldo: no demuestra que los datos de Microsoft 365 de los clientes no se hayan visto afectados. En la actualización reportada no se anunció una fecha de restablecimiento. 4
19
En una actualización del 17 de octubre, ConnectWise dijo que revocó los certificados utilizados en las conexiones de las aplicaciones afectadas e invalidó las credenciales compartidas de Cloud Backup. La interrupción del servicio y estas medidas sobre las credenciales son acciones de contención, no un balance definitivo del impacto. 3
La información disponible no establece cuántas organizaciones resultaron afectadas, hasta qué punto se robaron datos ni cómo se obtuvo la credencial original. Además, las investigaciones de distintas empresas de seguridad abarcan grupos diferentes de tenants; las observaciones de una firma no deben tomarse como una imagen completa de todos los entornos afectados. 1
9
19
Qué deberían hacer los administradores de Microsoft 365
- Desactivar las aplicaciones afectadas y preservar la evidencia. Huntress recomendó a las organizaciones afectadas desactivar la aplicación. Antes de eliminarla, conviene revisar los registros de inicio de sesión y los cambios de roles y credenciales; antes de volver a conectarla, hay que seguir las indicaciones actualizadas del proveedor y del equipo de respuesta a incidentes.
9
13
- Revisar otras aplicaciones, no solo Cloud Backup. Buscar secretos o credenciales inesperados añadidos desde el 13 de octubre, además de asignaciones de roles desconocidas. Rotar la credencial del proveedor o suspender el servicio no elimina automáticamente las credenciales que se hayan añadido a otras aplicaciones.
1
- Analizar por separado los inicios de sesión de aplicaciones y los de usuarios. Como la actividad utilizó una identidad de aplicación, revisar únicamente los eventos de MFA de usuarios no basta para evaluarla.
7
- No interpretar la ausencia de eventos de auditoría como prueba de que no hubo acceso. Algunas operaciones de lectura del directorio mediante Microsoft Graph pueden no dejar un registro de auditoría del directorio, lo que limita lo que puede concluirse a partir de la ausencia de eventos.
La lección principal es que una integración de confianza puede tener acceso amplio a los entornos de varios clientes. En este incidente, los inicios de sesión de aplicaciones confirmados y las señales reportadas de persistencia justifican una investigación, incluso cuando no se haya demostrado el robo de datos. 9
15
Studio Global AI
Continúe su investigación
Esta página incluye una respuesta respaldada por fuentes que puede continuar dentro de Studio Global.
La gente también pregunta
¿Cuál es la respuesta corta a "Ataque a ConnectWise Cloud Backup: qué deben revisar los administradores de Microsoft 365"?
Huntress reportó inicios de sesión no autorizados en 173 tenants de Microsoft 365 mediante una credencial comprometida de ConnectWise Cloud Backup.
¿Cuáles son los puntos clave a validar primero?
Huntress reportó inicios de sesión no autorizados en 173 tenants de Microsoft 365 mediante una credencial comprometida de ConnectWise Cloud Backup. Como el acceso se realizó con la identidad de una aplicación de confianza y no con cuentas de usuario, la MFA de usuarios no formó parte de ese flujo de autenticación.
¿Qué debo hacer a continuación en la práctica?
El número total de organizaciones afectadas y el alcance de cualquier robo de datos siguen sin estar claros; se recomienda revisar también otras aplicaciones y credenciales.