Un servicio de respaldo de Microsoft 365 necesita permiso para leer todo lo que respalda: cada buzón, cada OneDrive, cada sitio de SharePoint, cada chat de Teams. Para eso existe. En octubre, unos atacantes robaron las credenciales que llevan ese permiso y las usaron para entrar a los entornos de Microsoft 365 de los clientes por la puerta principal.
Qué pasó
El respaldo en la nube de Microsoft 365 funciona a través de una aplicación registrada en Microsoft a la que el administrador de cada cliente le da, una sola vez, un permiso amplio. Desde ese momento la aplicación inicia sesión por su cuenta, sin usuario y sin pedir contraseña, con un secreto o certificado que guarda el proveedor de respaldo. Quien tenga ese secreto tiene el acceso de la aplicación a cada tenant que confió en ella.
Eso fue lo que obtuvieron los atacantes. Microsoft dice que Storm-0940 "obtuvo el control de las identidades de varias aplicaciones en la nube de ConnectWise" y usó ARTEX para intentar iniciar sesión en más de 2,250 tenants, en un momento con más de 200 inicios de sesión en menos de cuatro minutos. Donde un inicio de sesión funcionaba, las herramientas automatizadas avanzaban rápido: leían el directorio, agregaban sus propias credenciales a aplicaciones para poder volver, cambiaban roles y, en algunos casos, llegaban a acceso privilegiado en menos de tres horas.
La firma de seguridad Huntress, que monitorea muchos tenants de pequeñas empresas, reportó inicios de sesión no autorizados confirmados en 162 tenants de sus clientes. También encontró a las propias apps de gestión de la empresa de respaldo otorgándose roles de administrador, sobre todo Administrador de Exchange, en casi 50, y en un caso Administrador global. El resumen de Microsoft es que "la mayoría de los ataques no tuvieron éxito", pero que el grupo "logró persistencia privilegiada en la nube en muchas organizaciones".
ConnectWise desactivó las siete identidades de aplicación y revocó sus credenciales el 17 de octubre, lo que detuvo el ataque y también detuvo los respaldos de todos los clientes. Desde entonces construyó una aplicación nueva, "ConnectWise Cloud Backup for M365", y empezó a migrar a sus socios el 28 de octubre. Dice que los archivos de respaldo cifrados quedaron aislados y no muestran señales de compromiso, y que no hay indicios de que otros productos de ConnectWise se vieran afectados. Cómo se expusieron las credenciales sigue bajo investigación.
Por qué importa este caso
Las empresas contratan respaldo de Microsoft 365 porque les preocupa perder datos. Muy pocas piensan en el servicio de respaldo como una entrada. Pero una app de respaldo es, por necesidad, una de las identidades más poderosas del tenant: nunca inicia sesión de forma interactiva, no le aplican las solicitudes de MFA que ve el personal y sus credenciales están en manos de otra empresa.
Es el mismo patrón que la brecha de Railway de principios de mes. Un proveedor guarda las llaves de miles de clientes, así que robarlas una vez vale más que entrar a cualquier cliente individual. Y como con Railway, los clientes no podían haber evitado el robo. Lo que sí controlan es cuánto pueden hacer esas llaves y si alguien notaría que se están usando.
También es el ejemplo más claro hasta ahora de lo que quiso decir la alerta de junio de las agencias de ciberseguridad de los Five Eyes sobre la IA acortando los tiempos de ataque. Los inicios de sesión se automatizaron a un ritmo que ningún operador humano alcanzaría, y el paso del primer acceso a administrador tomó horas. Explicamos lo que esas alertas significan para una empresa más pequeña aquí.
Qué hacer en concreto
Averigua si lo usas. Pregúntale a tu proveedor de TI si tu Microsoft 365 se respalda con ConnectWise Cloud Backup o SkyKick. En el centro de administración de Microsoft Entra, busca en Aplicaciones empresariales algo llamado SkyKick o ConnectWise. Identifícalas por ID de aplicación, no por nombre, porque las instalaciones viejas siguen con nombres de SkyKick.
Si lo usas, asegúrate de que se restaure bien. Tu proveedor tiene que restablecer su contraseña de ConnectWise, configurar la autenticación multifactor y volver a autorizar tu tenant en la app nueva. No reactives las aplicaciones viejas a menos que ConnectWise lo indique. Después confirma que los respaldos nuevos de verdad se están completando; volver a autorizar no lo demuestra por sí solo. Espera un hueco en el historial de respaldos desde mediados de octubre.
Revisa tu tenant por lo que los atacantes pudieron dejar. Busca en los registros de auditoría y de inicio de sesión de Entra, desde al menos el 1 de octubre, credenciales o certificados agregados a cualquier aplicación, aplicaciones o propietarios nuevos, asignaciones de roles nuevas, cambios en el Acceso condicional, usuarios nuevos, restablecimientos de contraseña y métodos de MFA nuevos. En Exchange, busca reglas de reenvío y delegaciones de buzón nuevas. Conserva la evidencia antes de borrar nada. La retención de registros es de solo siete días en el nivel gratuito de Entra y de 30 en los de pago, así que hazlo ya.
Revisa cada app con acceso amplio a tu tenant. Respaldo, seguridad de correo, archivado, firma electrónica, integraciones con el CRM: haz la lista, revisa qué permisos tiene cada una y quita las que ya no uses. Cada una es una llave que guarda alguien más.
El resumen
Los clientes de ConnectWise no hicieron nada mal. Conectaron un servicio de respaldo, como hacen la mayoría de las empresas bien administradas, y le robaron las credenciales al proveedor. La restauración está en marcha y los archivos de respaldo parecen intactos.
La lección que queda es sobre las apps a las que les confiaste tu tenant. Cada una es una identidad con poder y sin solicitud de contraseña, en manos de una empresa de la que dependes. Sabe cuáles tienes, no les des más acceso del que necesitan y vigila lo que hacen.
Fuentes
- Cloud Backup security advisory and updates — ConnectWise Trust Center
- ConnectWise Cloud Backup technical investigation and remediation guide — ConnectWise
- Storm-0940 uses ARTEX agentic AI and a ConnectWise supply chain compromise — Microsoft Threat Intelligence
- Hackers breach Microsoft 365 tenants via ConnectWise supply chain attack — BleepingComputer
- Stolen ConnectWise SkyKick credential exposed Microsoft 365 tenants — iTnews
- ConnectWise suspends cloud backup services as it probes hack — GovInfoSecurity
