Ataque via ConnectWise Cloud Backup (ex-SkyKick) atinge tenants do Microsoft 365: o que revisar nos aplicativos de terceiros

Entre 15 e 17 de outubro de 2026, um ataque à cadeia de fornecedores atingiu empresas que usam o ConnectWise Cloud Backup (antigo SkyKick Cloud Backup), serviço de backup do Microsoft 365 e do Google Workspace voltado a provedores de serviços gerenciados (MSPs). Segundo a BleepingComputer, atacantes usaram a credencial do próprio aplicativo de backup para entrar em tenants do Microsoft 365 de clientes, sem precisar da senha de nenhum usuário e sem passar pelo MFA.

Na atualização mais recente da ConnectWise, de 19/10/2026, o serviço seguia suspenso: backups agendados, acesso aos arquivos e restaurações estavam indisponíveis, ainda sem previsão de retorno.

O caso interessa também a quem não usa esse produto, porque mostra como um aplicativo de terceiros com permissões amplas no Microsoft 365 pode virar uma porta de entrada.

O que aconteceu

• No aviso de segurança publicado em 16/10, a ConnectWise informou ter identificado acesso não autorizado a identidades de aplicativo do ambiente do Cloud Backup e suspendeu o acesso desses aplicativos.
• A Huntress relatou que, em 15/10, a identidade do aplicativo de backup fez login em tenants de clientes a partir do endereço de um provedor de hospedagem e recebeu tokens de acesso ao Microsoft Graph. Até a tarde de 16/10, a empresa havia confirmado logins não autorizados em 162 tenants. Em atualização posterior, disse ter encontrado quase 1.000 tenants com tentativas de login a partir desse endereço, mais de 300 delas bem-sucedidas.
• A Huntress também observou, em cerca de 50 tenants, aplicativos de gerenciamento da ConnectWise atribuindo a si mesmos funções administrativas, principalmente Administrador do Exchange. A empresa ainda não confirmou se essa parte foi obra do atacante ou de automação do próprio fornecedor. Em um tenant, porém, um desses aplicativos se deu a função de Administrador Global e adicionou novas credenciais a outros dois aplicativos, uma forma de manter o acesso mesmo depois que a credencial original fosse revogada.
• Segundo a BleepingComputer, a Microsoft também confirmou a atividade maliciosa e a classificou como um ataque ativo à cadeia de fornecedores.
• Em 17/10, a ConnectWise desativou sete identidades de aplicativo e revogou as credenciais associadas. A empresa diz não ter indícios de que os dados de backup tenham sido comprometidos e afirma que os arquivos seguem criptografados e isolados. Ao mesmo tempo, avisa que tokens já emitidos podem continuar válidos até expirarem.

Ainda não se sabe como a credencial do fornecedor foi obtida nem quantos dados foram acessados.

Por que o MFA não impediu

Um aplicativo de backup precisa ler e gravar e-mails, arquivos do OneDrive e do SharePoint e conversas do Teams para fazer cópias e restaurações. Para isso, recebe permissões amplas no Microsoft Entra ID e faz login como aplicativo, sem nenhum usuário envolvido.

Quem tem a credencial desse aplicativo herda as mesmas permissões em todos os tenants onde ele está instalado. Como não há login de pessoa, o MFA e as políticas pensadas para usuários não entram em jogo.

O que fazer agora, se você usa ConnectWise ou SkyKick

As orientações abaixo resumem o que publicaram a ConnectWise, em seu guia de investigação e correção, e a Huntress:

1. No centro de administração do Microsoft Entra, em Aplicativos empresariais, localize os aplicativos da ConnectWise e da SkyKick (em tenants antigos podem aparecer como “SkyKick Cloud Manager”) e desative o login, sem excluir. Excluir remove o consentimento e obriga a refazê-lo depois.
2. Mantenha-os desativados até a ConnectWise publicar instruções formais de restauração.
3. Revise os logins de entidades de serviço (aba de service principal sign-ins, não a aba padrão de usuários) em busca de endereços fora dos intervalos da Microsoft.
4. Revise segredos e certificados de todos os aplicativos do tenant, principalmente ferramentas de gestão e de segurança, e remova os que foram adicionados desde 13/10 sem o seu conhecimento. Desativar o aplicativo da ConnectWise não apaga credenciais já plantadas em outros aplicativos.
5. Verifique se algum aplicativo da ConnectWise ou da SkyKick recebeu funções de diretório que você não concedeu e remova-as.
6. Revise exceções de Acesso Condicional que incluam esses aplicativos.
7. Lembre que, com o serviço parado, não há novos pontos de backup. Avalie se esse intervalo é aceitável ou se é preciso uma cópia alternativa temporária.

Se a sua TI é feita por um MSP, pergunte diretamente se ele usa esses produtos e se já revisou o seu tenant. A ConnectWise reforça que revisar o tenant do MSP não equivale a revisar o tenant de cada cliente.

O que toda empresa com Microsoft 365 pode revisar

Mesmo sem ConnectWise, vale olhar para os aplicativos de terceiros conectados ao seu Microsoft 365:

• Inventário: quais aplicativos de terceiros têm consentimento no seu tenant hoje? Algum está lá há anos sem uso?
• Permissões: cada um tem só o acesso de que precisa? Algum tem funções administrativas?
• Credenciais: quem pode adicionar segredos e certificados a aplicativos? A Huntress recomenda limitar quem tem as funções de Administrador de Aplicativos e Administrador de Aplicativos de Nuvem.
• Políticas: políticas de gerenciamento de aplicativos podem restringir segredos e limitar sua validade, e o Acesso Condicional para identidades de carga de trabalho (que exige licenciamento adicional) pode restringir de onde um aplicativo faz login.
• Monitoramento: alguém acompanha os logins de aplicativos e alertas como um aplicativo atribuindo a si mesmo uma função?
• Backup: se o seu serviço de backup ficar fora do ar por dias, existe um plano B? Quanto tempo sem novos pontos de restauração a sua operação aguenta?

Nem todo item se aplica a todos os ambientes. O importante é saber responder a essas perguntas antes do próximo incidente.

Como a CGT pode ajudar

A CGT apoia pequenas e médias empresas na gestão de TI, segurança e Microsoft 365, dentro do escopo combinado com cada cliente: revisão de aplicativos e permissões no Entra ID, acompanhamento de alertas de segurança e planejamento de backup.

Quer saber quais aplicativos têm acesso ao Microsoft 365 da sua empresa? Conheça a CGT e fale com a gente.

Fontes: BleepingComputer, 17/10/2026, atualizado em 18/10, aviso de segurança da ConnectWise, guia de investigação e correção da ConnectWise e análise da Huntress.