Ataques a ScreenConnect: ConnectWise apaga cinco extensiones en unos 400 entornos

ConnectWise, la empresa detrás de ScreenConnect, publicó el 11 de noviembre de 2026 a las 22:45 UTC un aviso de seguridad sobre los ataques a ScreenConnect: reportes de accesos no autorizados a cuentas de sus socios y de instalación de software de acceso remoto no autorizado en equipos de sus clientes. ScreenConnect es la herramienta con la que muchos proveedores de soporte técnico (los MSP, en la jerga) se conectan a distancia a las PC de las empresas que atienden. En el aviso, ConnectWise dice que identificó cinco extensiones de terceros que pueden estar asociadas a la actividad, que las encontró en unos 400 entornos de socios y que las deshabilitó como precaución. El mismo día, la firma de seguridad Huntress contó seis MSP comprometidos y más de 286 equipos afectados en 47 organizaciones, según BleepingComputer.

Qué hacer hoy: si tu empresa tiene el soporte técnico tercerizado, preguntale a tu proveedor si usa ScreenConnect y si tiene instalada alguna de esas cinco extensiones, y si ya revisó el historial de Run Command. Si la respuesta es sí, lo que corresponde es que revise su entorno con las pautas de ConnectWise que resumimos más abajo. Mientras tanto, no aceptes conexiones remotas que nadie te anticipó. Si sos el proveedor, administrás ScreenConnect en un servidor propio y tenés alguna de esas extensiones, ConnectWise no puede apagarlas por vos: tenés que hacerlo vos, hoy.

Una aclaración que la propia ConnectWise pone por escrito: tener una de esas extensiones no prueba que el entorno haya sido atacado. Y si no las instalaste, la empresa dice que no tiene motivos para creer que el incidente te alcance, aunque pide a todos sus socios que estén en alerta.

Qué dice el aviso de ConnectWise

El aviso oficial, publicado en el centro de confianza de ConnectWise con el estado «causa y alcance en investigación», es corto y bastante prudente. Esto es lo que afirma:

• Qué pasó: recibió reportes de acceso no autorizado a cuentas de socios de ScreenConnect y de instalación de software de acceso remoto no autorizado en los entornos de sus clientes.
• Qué sospecha: su evaluación inicial es que el atacante instaló ese software adicional a través de extensiones de terceros que los socios pueden haber sumado a su entorno. Lo presenta como sospecha, no como conclusión.
• Qué no sabe: todavía no estableció cómo consiguieron el acceso inicial ni el alcance completo.
• Qué hizo: deshabilitó las cinco extensiones en los aproximadamente 400 entornos donde estaban. Si el socio tiene ScreenConnect instalado en servidores propios, la empresa no puede hacerlo por él.
• Qué queda abierto: deshabilitar las extensiones no garantiza que se haya ido el software no autorizado, los mecanismos de persistencia o el acceso que ya estuviera instalado en los equipos afectados.

Las cinco extensiones que ConnectWise deshabilitó son Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link y RMM+ Password Link. El aviso las llama «independientes» y «de terceros»: no son de ConnectWise. Pide no volver a habilitarlas ni reinstalarlas hasta nuevo aviso.

Qué vio Huntress en los equipos

La alarma la dio Huntress, una empresa de seguridad que trabaja justamente con proveedores de IT. Según la cobertura de BleepingComputer, su equipo publicó en Reddit que estaba trabajando en una campaña activa que empezó alrededor de las 17:47 UTC del 11 de noviembre contra instancias de ScreenConnect alojadas en la nube, con seis MSP comprometidos y más de 286 equipos, «y esos números siguen subiendo».

La mecánica que describe Huntress es simple y, por eso mismo, incómoda. Los atacantes usan la función Run Command de ScreenConnect, la que le permite al técnico ejecutar un comando en una PC del cliente, para instalar otro cliente de ScreenConnect en los equipos administrados. Ese segundo cliente les da acceso remoto por fuera del entorno legítimo del proveedor: aunque el MSP cierre su puerta, ellos ya tienen una propia.

Huntress advirtió además sobre algo más delicado: que la PC del técnico se infecte cuando abre una sesión interactiva con un equipo del cliente que ya está comprometido. BleepingComputer aclara que no está claro cómo funciona ese salto en reversa, ni si aprovecha una vulnerabilidad o abusa de funciones legítimas. ConnectWise lo menciona en su aviso como un comportamiento reportado que «sigue sujeto a validación».

Sobre cómo entraron, Huntress dice que todavía no lo determinó, pero que su telemetría apunta a credenciales comprometidas y sesiones de soporte secuestradas. Y dejó un dato que debería quitarle el sueño a más de un proveedor: las etiquetas que el atacante asigna son correlativas, lo que sugiere que puede haber otros MSP comprometidos antes. Por eso le recomendó a todo usuario de ScreenConnect revisar el historial de Run Command aunque no haya recibido alertas.

BleepingComputer encontró, además, un script malicioso subido a VirusTotal el 25 de julio de 2026 que busca uno de los identificadores de cliente de ScreenConnect que Huntress listó como sospechosos. El archivo parece hacerse pasar por un estado de cuenta de la Seguridad Social de EE. UU. No está claro si aquella actividad de julio y la campaña de ahora son parte de la misma operación.

Por qué esto le importa a una pyme que ni sabe qué es ScreenConnect

Porque puede tenerlo instalado sin saberlo. Si una empresa contrata a alguien para que le mantenga las PC, ese alguien necesita entrar a distancia, y para eso instala un agente de acceso remoto en cada equipo. ScreenConnect es una de las herramientas que se usan para eso. Es la ventanita que aparece cuando el técnico te dice «dejame que me conecto y lo veo».

El problema de un ataque a un proveedor de IT es el efecto dominó: quien compromete la consola del proveedor no entra a una empresa, entra a todas las que atiende. Las cifras de Huntress lo muestran: seis proveedores comprometidos se traducen en 47 organizaciones afectadas. ConnectWise, por su parte, le dijo a BleepingComputer que la actividad afecta a «un número limitado» de socios de ScreenConnect. Las víctimas que se conocen hasta ahora no tienen país informado, así que no hay datos para decir que el ataque llegó a América Latina; si tu proveedor usa ScreenConnect, la pregunta vale igual.

Tampoco es la primera semana difícil para este tipo de herramientas. El 9 de noviembre, N-able sacó de línea todos sus entornos alojados de N-central, otra plataforma de administración remota para proveedores de IT, después de que un investigador independiente divulgara fallas críticas sin coordinarlo con la empresa, según contó N-able a BleepingComputer. Después publicó la versión 2026.4 HF2 con parches para las más graves. Y en octubre, ConnectWise ya había tenido que apagar su servicio de copias de seguridad para Microsoft 365, un caso que contamos acá y que no tiene relación conocida con este: es otro producto.

Qué hacer según quién seas

Si sos cliente de un proveedor de IT:

• Preguntale si usa ScreenConnect y, en ese caso, si tenía alguna de las cinco extensiones. Es una pregunta de un minuto. Si la respuesta es no, el riesgo baja pero no desaparece: pedile también que revise el historial de Run Command, como recomienda Huntress a todos los usuarios de ScreenConnect.
• No aceptes sesiones remotas que nadie te avisó, aunque la ventanita se vea igual a la de siempre. Si una PC hace cosas raras solas (se mueve el mouse, se abren programas), desconectala de la red y llamá a tu proveedor por teléfono, no por el chat del propio equipo.
• Si tu proveedor encuentra algo, lo razonable es que te explique qué equipos tocaron y qué hizo para limpiarlos. ConnectWise advierte que deshabilitar las extensiones y cambiar contraseñas puede no sacar por sí solo un acceso que ya quedó instalado.

Si sos el proveedor, estas son las medidas que enumera ConnectWise para quienes tenían esas extensiones habilitadas:

• Verificá el estado de las extensiones y confirmá que estén deshabilitadas. Guardá los registros de instalación y de actividad. No las vuelvas a habilitar.
• Investigá con otras herramientas. Como precaución, no abras sesiones interactivas de ScreenConnect con equipos que sospeches comprometidos: usá las herramientas de respuesta de tu proveedor de seguridad u otro método de confianza.
• Asegurá el acceso administrativo desde un equipo de confianza: revocá las sesiones activas de ScreenConnect y del proveedor de identidad, cambiá las contraseñas relevantes y comprobá que la autenticación multifactor esté obligatoria. Si la PC de un técnico puede estar comprometida, hacelo desde otra.
• Revisá y conservá la evidencia: registros de autenticación, de instalación de extensiones, administrativos, de Run Command y de Toolbox. Buscá usuarios, cambios de permisos, instalaciones de software y comandos que no esperabas.
• Contené y remediá según tu procedimiento de respuesta a incidentes: aislá los equipos afectados, incluidas las PC de técnicos, y conservá la evidencia antes de borrar nada.
• Confirmá que servidores, clientes de técnicos y agentes cumplan con la guía de seguridad vigente. ConnectWise aclara que actualizar no reemplaza investigar.

Huntress publicó también indicadores de compromiso, entre ellos direcciones IP, dominios y dos identificadores de clientes de ScreenConnect controlados por el atacante, que BleepingComputer reproduce en su nota. Son útiles para el proveedor que tiene herramientas para buscarlos; para el usuario de una pyme, la pregunta a su proveedor sigue siendo el paso que sirve.

Lo que todavía no se sabe de los ataques a ScreenConnect

Al cierre de esta nota, ni ConnectWise ni Huntress habían establecido cómo empezó el ataque. ConnectWise sospecha de las extensiones de terceros y Huntress habla de credenciales y sesiones secuestradas; las dos cosas pueden ser parte de la misma historia o no. Tampoco se sabe cuántos de los 400 entornos con extensiones fueron realmente atacados, si hay víctimas fuera de las que contó Huntress, ni quién está detrás. Ni el aviso ni la cobertura mencionan un CVE ni un parche específico: lo que hay es un aviso que ConnectWise promete actualizar a medida que valide información. Si cambia algo de lo que contamos acá, lo vamos a actualizar.

Fuentes

• ConnectWise, «ScreenConnect security advisory: Precautionary extension disabling and partner guidance», publicado el 11 de noviembre de 2026 a las 22:45 UTC.
• BleepingComputer, «Active ScreenConnect attacks breach MSPs, impact dozens of organizations», de Lawrence Abrams, 11 de noviembre de 2026, con declaraciones de ConnectWise y Huntress.
• BleepingComputer, «N-able releases security hotfixes for zero-day vulnerabilities», de Sergiu Gatlan, 11 de noviembre de 2026.
• Créditos de imagen: fotomontajes editoriales asistidos por IA con el logo de ConnectWise tomado de su sitio oficial.

¿Tu proveedor de IT ya te escribió por esto? Contanos en los comentarios ⬇️