Ataque vía ConnectWise Cloud Backup (ex-SkyKick) alcanza tenants de Microsoft 365: qué revisar en las aplicaciones de terceros

Entre el 15 y el 17 de octubre de 2026, un ataque a la cadena de proveedores alcanzó a empresas que usan ConnectWise Cloud Backup (antes SkyKick Cloud Backup), un servicio de backup de Microsoft 365 y Google Workspace pensado para proveedores de servicios gestionados (MSP). Según BleepingComputer, los atacantes usaron la credencial de la propia aplicación de backup para entrar en tenants de Microsoft 365 de clientes, sin necesitar la contraseña de ningún usuario y sin pasar por el MFA.

En la actualización más reciente de ConnectWise, del 19/10/2026, el servicio seguía suspendido: los backups programados, el acceso a los archivos y las restauraciones no estaban disponibles, todavía sin fecha de regreso.

El caso importa también a quien no usa este producto, porque muestra cómo una aplicación de terceros con permisos amplios en Microsoft 365 puede convertirse en una puerta de entrada.

Qué pasó

• En el aviso de seguridad publicado el 16/10, ConnectWise informó que detectó acceso no autorizado a identidades de aplicación del entorno de Cloud Backup y suspendió el acceso de esas aplicaciones.
• Huntress relató que, el 15/10, la identidad de la aplicación de backup inició sesión en tenants de clientes desde la dirección de un proveedor de hosting y recibió tokens de acceso a Microsoft Graph. Hasta la tarde del 16/10, la empresa había confirmado inicios de sesión no autorizados en 162 tenants. En una actualización posterior, dijo haber encontrado casi 1.000 tenants con intentos de inicio de sesión desde esa dirección, más de 300 de ellos exitosos.
• Huntress también observó, en unos 50 tenants, aplicaciones de gestión de ConnectWise asignándose a sí mismas roles administrativos, sobre todo Administrador de Exchange. La empresa aún no confirmó si esa parte fue obra del atacante o de la automatización del propio proveedor. En un tenant, en cambio, una de esas aplicaciones se dio el rol de Administrador Global y agregó credenciales nuevas a otras dos aplicaciones, una forma de mantener el acceso incluso después de revocada la credencial original.
• Según BleepingComputer, Microsoft también confirmó la actividad maliciosa y la calificó como un ataque activo a la cadena de proveedores.
• El 17/10, ConnectWise desactivó siete identidades de aplicación y revocó las credenciales asociadas. La empresa dice no tener indicios de que los datos de backup se hayan visto comprometidos y afirma que los archivos siguen cifrados y aislados. Al mismo tiempo, advierte que los tokens ya emitidos pueden seguir siendo válidos hasta que expiren.

Todavía no se sabe cómo se obtuvo la credencial del proveedor ni cuántos datos se accedieron.

Por qué el MFA no lo impidió

Una aplicación de backup necesita leer y escribir correos, archivos de OneDrive y SharePoint y chats de Teams para hacer copias y restauraciones. Para eso recibe permisos amplios en Microsoft Entra ID e inicia sesión como aplicación, sin ningún usuario de por medio.

Quien tiene la credencial de esa aplicación hereda los mismos permisos en todos los tenants donde está instalada. Como no hay inicio de sesión de una persona, el MFA y las políticas pensadas para usuarios no entran en juego.

Qué hacer ahora, si usa ConnectWise o SkyKick

Estas recomendaciones resumen lo que publicaron ConnectWise, en su guía de investigación y corrección, y Huntress:

1. En el centro de administración de Microsoft Entra, en Aplicaciones empresariales, ubique las aplicaciones de ConnectWise y SkyKick (en tenants antiguos pueden aparecer como “SkyKick Cloud Manager”) y desactive el inicio de sesión, sin eliminarlas. Eliminarlas quita el consentimiento y obliga a otorgarlo de nuevo después.
2. Manténgalas desactivadas hasta que ConnectWise publique instrucciones formales de restauración.
3. Revise los inicios de sesión de entidades de servicio (pestaña de service principal sign-ins, no la pestaña predeterminada de usuarios) en busca de direcciones fuera de los rangos de Microsoft.
4. Revise los secretos y certificados de todas las aplicaciones del tenant, en especial herramientas de gestión y de seguridad, y elimine los que se hayan agregado desde el 13/10 sin su conocimiento. Desactivar la aplicación de ConnectWise no borra credenciales ya plantadas en otras aplicaciones.
5. Verifique si alguna aplicación de ConnectWise o SkyKick recibió roles de directorio que usted no otorgó y quíteselos.
6. Revise las exclusiones de Acceso Condicional que incluyan estas aplicaciones.
7. Recuerde que, con el servicio detenido, no hay nuevos puntos de backup. Evalúe si ese intervalo es aceptable o si hace falta una copia alternativa temporal.

Si su TI la maneja un MSP, pregúntele directamente si usa estos productos y si ya revisó su tenant. ConnectWise insiste en que revisar el tenant del MSP no equivale a revisar el tenant de cada cliente.

Qué puede revisar toda empresa con Microsoft 365

Aunque no use ConnectWise, conviene mirar las aplicaciones de terceros conectadas a su Microsoft 365:

• Inventario: ¿qué aplicaciones de terceros tienen consentimiento en su tenant hoy? ¿Alguna lleva años ahí sin uso?
• Permisos: ¿cada una tiene solo el acceso que necesita? ¿Alguna tiene roles administrativos?
• Credenciales: ¿quién puede agregar secretos y certificados a las aplicaciones? Huntress recomienda limitar quién tiene los roles de Administrador de aplicaciones y Administrador de aplicaciones en la nube.
• Políticas: las políticas de administración de aplicaciones pueden restringir los secretos y limitar su vigencia, y el Acceso Condicional para identidades de carga de trabajo (que requiere licencias adicionales) puede limitar desde dónde inicia sesión una aplicación.
• Monitoreo: ¿alguien sigue los inicios de sesión de aplicaciones y alertas como una aplicación que se asigna un rol a sí misma?
• Backup: si su servicio de backup quedara fuera de línea varios días, ¿hay un plan B? ¿Cuánto tiempo sin nuevos puntos de restauración aguanta su operación?

No todos los puntos aplican a todos los entornos. Lo importante es poder responder estas preguntas antes del próximo incidente.

Cómo puede ayudar CGT

CGT apoya a pequeñas y medianas empresas en la gestión de TI, seguridad y Microsoft 365, dentro del alcance acordado con cada cliente: revisión de aplicaciones y permisos en Entra ID, seguimiento de alertas de seguridad y planificación de backup.

¿Quiere saber qué aplicaciones tienen acceso al Microsoft 365 de su empresa? Conozca CGT y hable con nosotros.

Fuentes: BleepingComputer, 17/10/2026, actualizado el 18/10, aviso de seguridad de ConnectWise, guía de investigación y corrección de ConnectWise y análisis de Huntress.