Usaron ConnectWise Cloud Backup para entrar al Microsoft 365 de empresas: qué revisar

Si tu empresa tiene Microsoft 365 y un proveedor de IT le hace las copias de seguridad, esto puede tocarte. ConnectWise Cloud Backup, el servicio de respaldo que antes se llamaba SkyKick y que usan los proveedores de IT para guardar el correo, OneDrive, SharePoint y Teams de sus clientes, tiene un problema serio: según Huntress, la credencial con la que su aplicación entra al Microsoft 365 de cada cliente quedó en manos de atacantes. Con ella, alguien obtuvo el 15 de octubre acceso a entornos de Microsoft 365 de empresas: la firma de seguridad Huntress había confirmado inicios de sesión no autorizados en 162 de esos entornos al 16 de octubre a las 19:00 UTC, y Microsoft Threat Intelligence lo describe como un ataque activo a la cadena de suministro.

Actualización del 17 de octubre de 2026 (avisos de las 14:30 y las 17:00 UTC). Hay dos novedades. Huntress dice tener alta confianza en que el atacante también usó indebidamente otras aplicaciones de ConnectWise: además de la de Teams, las de Exchange Online y SharePoint Online, y a las 14:30 UTC no le parecía que ConnectWise las hubiera deshabilitado. Por eso nuestro paso 2 ahora incluye esas dos.

ConnectWise, a las 17:00 UTC, dice que suspendió Cloud Backup revocando los certificados de las conexiones afectadas, que las credenciales compartidas que usaba ese servicio ya no sirven y que desde entonces no vio actividad exitosa del atacante en los entornos que monitorea. Esa revocación habla de Cloud Backup: el aviso no menciona las aplicaciones de Cloud Management (Exchange Online, SharePoint Online, Teams). ConnectWise aclara además algo clave: por diseño, no ve los entornos de sus clientes, así que no puede saber por sí sola si un Microsoft 365 en particular fue afectado. La revisión de abajo sigue siendo tuya. Las copias siguen sin poder consultarse ni restaurarse.

Qué hacer hoy: si no administrás vos el Microsoft 365 de tu empresa, preguntale a tu proveedor de IT si usa ConnectWise Cloud Backup o SkyKick y si ya hizo la revisión de abajo. Si lo administrás vos, seguí los pasos. ConnectWise anunció el 17 de octubre que cortó el acceso de su aplicación de respaldo y que las credenciales que usaba ese servicio ya no sirven, con las copias de seguridad en pausa hasta nuevo aviso, pero eso no alcanza: según Huntress, apagar la aplicación no borra las credenciales que se hayan agregado a otras aplicaciones de tu entorno. Si en tu entorno no hay ninguna aplicación de ConnectWise ni de SkyKick, la vía de acceso que describen las fuentes no te alcanza directamente; Huntress advierte, eso sí, que a través de las herramientas de un proveedor de IT el efecto podría extenderse a otros clientes, aunque no vio que pasara.

Qué revisar en Microsoft 365

Todo se hace desde el Centro de administración de Microsoft Entra con una cuenta de administrador. Los pasos salen de las recomendaciones de Huntress y del aviso de ConnectWise:

1. Deshabilitá la aplicación, no la borres. En Aplicaciones empresariales, buscá «SkyKick» o «ConnectWise Cloud Backup» (identificador de aplicación 506e08f9-6e9a-4da4-942b-a099a03644ae). En Propiedades, poné en «No» la opción que habilita el inicio de sesión de usuarios. Huntress pide no eliminarla: borrarla quita el consentimiento y después hay que volver a darlo para restaurar el servicio.
2. Deshabilitá también las de Teams, Exchange Online y SharePoint Online, y buscá las demás de ConnectWise y SkyKick. Huntress pide deshabilitar de inmediato, sin borrarla, una segunda aplicación, ConnectWise Cloud Management – MS Teams (24205314-2b89-4e07-a2a4-579e898a5640), cuyo uso indebido confirmó en un entorno. En su actualización del 17 de octubre dice tener alta confianza en que el atacante también usó indebidamente otras dos: ConnectWise Cloud Management – Exchange Online (b78f6a77-d4e5-46fb-87e5-d1648bd02519) y ConnectWise Cloud Management – SharePoint Online (b2b55f5b-7758-4719-8d8f-88ae172e6bdb). Su recomendación formal no cambió: la lista de pasos inmediatos todavía nombra solo la de Cloud Backup y la de Teams. Como el atacante también usó estas dos, nuestra recomendación es deshabilitarlas también, sin borrarlas. Con las demás de la marca, Huntress sugiere considerar deshabilitarlas de forma temporal. Los otros identificadores que publica: Cloud Management 2399d300-6fca-4e6a-a686-399fefe75b83, MS Graph 0de14c77-b9b0-4137-9360-34878a929827 y Partner Center 412dcf96-176d-4b3a-a1b0-4981ad66971e. En entornos viejos pueden figurar como «SkyKick Cloud Manager».
3. Revisá las credenciales de todas tus aplicaciones (el paso que más pesa). En Aplicaciones empresariales y en Registros de aplicaciones, mirá los secretos de cliente y los certificados agregados desde el 13 de octubre que no hayas creado vos, sobre todo en las herramientas de gestión y de seguridad (si usás Huntress, incluí su aplicación: fue una de las que recibió una credencial plantada). Lo que no reconozcas, se borra.
4. Mirá los roles. Si una aplicación de ConnectWise o SkyKick tiene un rol de directorio, sobre todo Administrador global o Administrador de autenticación con privilegios, revisalo y, con la aplicación ya deshabilitada, quitá el que no hayas dado a propósito.
5. Revisá los registros. En Supervisión, abrí Registros de inicio de sesión, entrá en la pestaña de inicios de sesión de entidades de servicio (la pestaña de usuarios que aparece por defecto no lo muestra) y filtrá por el identificador del paso 1. Buscá direcciones fuera de los rangos de Microsoft y Azure, en especial 144.172.64.128, la que señalan Huntress, ConnectWise y Microsoft. Ver esa dirección no prueba por sí solo que te hayan atacado, aclara ConnectWise; y un resultado limpio no descarta el acceso, avisa Huntress: deshabilitá igual. En Supervisión, abrí también los Registros de auditoría y filtrá desde el 13 de octubre las actividades Add member to role, Update application y Add service principal credentials (así las nombra Huntress): buscá aplicaciones de ConnectWise o SkyKick que se agreguen a un rol de directorio o modifiquen otras aplicaciones, y mirá el agente de usuario: Huntress vio las de ConnectWise operar con kiota-dotnet y los cambios sospechosos con Python-urllib/3.12. Es el registro que muestra la persistencia; el de inicios de sesión, no. Su límite, según Huntress: no detalla qué credencial se agregó ni qué leyó una aplicación a través de Microsoft Graph.

Si alguna política de acceso condicional excluye a esta aplicación, por ejemplo de un bloqueo por ubicación, Huntress recomienda revisar esa excepción. Y no vuelvas a habilitar nada de ConnectWise hasta que la empresa confirme que cambió todas sus credenciales: el aviso del 17 habla de las de Cloud Backup, no confirma el cambio de todas ni nombra las de Cloud Management. Si tu empresa usa Microsoft Defender, Microsoft dice que detecta la actividad posterior al ataque con alertas de inicio de sesión sospechoso y de uso de Microsoft Graph desde direcciones que su inteligencia de amenazas tiene identificadas.

¿Y mis copias de seguridad? Según Huntress, deshabilitar la aplicación pausa los respaldos automáticos, pero el correo, los archivos, Teams y los inicios de sesión siguen funcionando, y las copias que ya guarda ConnectWise no se borran. ConnectWise dice que las copias siguen cifradas y aisladas, que no tiene evidencia de que se haya accedido a ellas y que se conservan, pero que no se pueden consultar ni restaurar mientras dure la interrupción. Huntress sugiere confirmar con ConnectWise, o con tu proveedor, la retención y las opciones de restauración. Mientras tanto, conviene pensar si un tiempo sin puntos de restauración nuevos te complica (ConnectWise no dio plazo) y, si te complica, tener otra copia.

Por qué apagar la aplicación no alcanza

Un servicio de respaldo necesita permisos amplios para hacer su trabajo: leer el correo, los archivos, Teams y el directorio para copiarlos, y escribir para restaurarlos. Microsoft evalúa que el atacante probablemente aprovechó los permisos que los clientes ya le habían dado a la aplicación, entre ellos algunos tan altos como Directory.ReadWrite.All, que permite leer y modificar el directorio. Quien tiene la credencial de la aplicación hereda ese acceso. Y como es un acceso de aplicación, no de una persona, no hay usuario que inicie sesión ni pedido de verificación en dos pasos que lo frene.

Lo más delicado es lo que un acceso de aplicación como este permite dejar armado. En un entorno, dos horas y media antes de los accesos desde esa IP y sin poder decir todavía si fue el mismo operador, Huntress vio a la aplicación de ConnectWise para Teams asignarse el rol de Administrador global y, en unos cinco minutos, agregar credenciales nuevas a otras dos aplicaciones: una herramienta de gestión del proveedor de IT y la propia aplicación de seguridad de Huntress. Esas credenciales vencían en 2028. Microsoft, por su lado, reporta intentos de agregar credenciales a la propia aplicación de respaldo en los entornos atacados, para mantener el acceso como puerta trasera. Una credencial agregada así sirve para volver a entrar sin depender de la de ConnectWise. Por eso Huntress insiste en que cambiar la credencial del fabricante es necesario, pero no suficiente, y en que hay que revisar a mano lo que se agregó.

La ironía es de manual: la aplicación a la que le diste la llave de toda la casa para que cuidara las copias es la llave que alguien está usando. Y si tu proveedor de IT administra muchas empresas con herramientas propias, Huntress advierte que el efecto puede multiplicarse, aunque aclara que no vio que eso pasara.

Qué pasó, en orden

Huntress no vinculó todavía el paso de las 03:44 con el de las 06:13: para el primero no tiene dirección de origen, así que no puede decir que sea el mismo operador. En su actualización del 17 agrega un patrón para priorizar: observó lo que podría ser una preferencia por apuntar en orden alfabético, y sus víctimas más llamativas empiezan con «A». Igual pide revisar todos los entornos.

Lo que todavía no se sabe

• Cómo se filtró la credencial. Ninguna de las tres fuentes lo explica. ConnectWise dice que su investigación sigue abierta y que sumó a una firma externa de respuesta a incidentes.
• Si se llevaron datos. En el único entorno que Huntress revisó en detalle no vio acceso al correo ni a archivos, pero aclara que eso no prueba que no se haya llevado nada: las lecturas del directorio a través de Microsoft Graph no dejan registro.
• Cuántas empresas. Las 162 son las que Huntress pudo confirmar con lo que ve. Según Huntress, la credencial sirve en cualquier entorno donde la aplicación esté autorizada, así que el número real puede ser mayor. ConnectWise, por su parte, dice que no puede ver los entornos de sus clientes.
• Si hay casos en América Latina. Ninguna de las fuentes da países ni cifras por región.

Si usás Microsoft 365 Personal o Familia en tu casa, esto no va con vos: el servicio afectado está pensado para que los proveedores de IT respalden el Microsoft 365 de sus clientes empresa (es nuestra lectura de cómo lo describe Huntress, no un aviso de las fuentes). Sobre Google Workspace, que el mismo servicio también respalda, las fuentes no reportan accesos.

Fuentes

• ConnectWise, aviso «Cloud Backup (formerly known as SkyKick) Service Interruption», publicado el 16 de octubre de 2026 a las 17:47 UTC y actualizado el 17 a las 05:01 y a las 17:00 UTC (en inglés).
• Huntress, ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks, 16 de octubre de 2026, actualizado el 17 a las 14:30 UTC: cronología, cantidad de entornos, recomendaciones e indicadores (en inglés). Huntress vende servicios de seguridad para empresas.
• Microsoft Threat Intelligence, publicación en X del 17 de octubre de 2026 (versión editada de las 07:29 UTC), con indicadores y alertas de Microsoft Defender (en inglés).