Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
2026-10-17
Científicos de seguridad informan de una campaña activa en la que actores desconocidos abusaron de una credencial comprometida de ConnectWise Cloud Backup (antes SkyKick) para iniciar sesión en 173 inquilinos de Microsoft 365, obteniendo tokens de Microsoft Graph desde la IP 144.172.64.128 el 15 de octubre de 2026 entre las 06:13 y 08:34 UTC.
La aplicación tiene permisos amplios sobre buzones, OneDrive, SharePoint, Teams y datos de directorio. Los atacantes pudieron leer correos, archivos y chats, e incluso asignarse el rol de Administrador Global en al menos un inquilino, modificando otras aplicaciones de confianza y creando nuevos secretos de cliente. Revocar sesiones no elimina los tokens ya emitidos, que permanecen válidos hasta 90 minutos.
Se recomienda a las organizaciones desactivar inmediatamente la aplicación ConnectWise Cloud Backup en el Centro de administración de Entra, rotar sus credenciales, habilitar los registros de actividad de Microsoft Graph y auditar los inicios de sesión de principal de servicio y cualquier nuevo secreto añadido desde el 13 de octubre de 2026. ConnectWise ha cerrado el acceso de la aplicación mientras continúa la investigación.
Qué significa para una pyme colombiana y cucuteña: Revise si su empresa tiene instalada la aplicación ConnectWise Cloud Backup; si es así, desactívela de inmediato en el portal de Microsoft Entra, solicite a ConnectWise la rotación de credenciales y habilite los registros de actividad de Microsoft Graph para detectar accesos sospechosos. Realice estas acciones hoy para evitar que atacantes lean correos, archivos y datos de Teams de su empresa y de sus clientes.