ConnectWise apagó el 17 de octubre de 2026 el acceso a su servicio ConnectWise Cloud Backup (antes SkyKick Cloud Backup) después de que un atacante usara la credencial de esa aplicación para iniciar sesión en tenants de Microsoft 365 de sus clientes. Microsoft lo calificó como un ataque activo a la cadena de suministro, según BleepingComputer. El intruso no necesitó robar ninguna contraseña de usuario ni saltarse el doble factor: entró como si fuera el servicio de respaldo, con los permisos que cada empresa le había dado.
El caso importa a muchas PyMEs mexicanas aunque nunca hayan oído el nombre. SkyKick se vendió durante años a través de proveedores de TI y revendedores de Microsoft, que lo instalaban para respaldar correo, OneDrive, SharePoint y Teams de sus clientes. Si tu Microsoft 365 lo contrató un proveedor, la aplicación puede estar en tu tenant sin que nadie en tu empresa lo recuerde.
Qué pasó, en orden
La reconstrucción más detallada es la de Huntress, que fue la primera en dar la alerta. Horas en UTC (resta seis para la hora del centro de México):
| Fecha y hora (UTC) | Qué ocurrió |
|---|---|
| 13 y 14 de octubre | Desde la IP 144.172.64.128 se intentan contraseñas contra cuatro despachos jurídicos; dos cuentas quedan bloqueadas, sin accesos exitosos |
| 15 de octubre, desde 01:58 | En unos 50 tenants vigilados por Huntress, aplicaciones "Cloud Management" de ConnectWise se asignan a sí mismas roles de directorio, sobre todo Administrador de Exchange |
| 15 de octubre, 03:44–03:49 | En un tenant, la app Cloud Management para Teams se da Administrador global y un script agrega claves secretas a otras dos aplicaciones, una de ellas la de la propia Huntress |
| 15 de octubre, 06:13–08:34 | La app de Cloud Backup inicia sesión desde la IP del atacante en tenants recorridos en orden, con segundos de diferencia: un script con lista de objetivos |
| 16 de octubre, 19:00 | Huntress confirma accesos no autorizados en 162 tenants |
| 17 de octubre, 05:01 | ConnectWise anuncia la suspensión del servicio, sin fecha de regreso |
| 17 de octubre, tarde | Huntress reporta casi 1,000 tenants con intentos desde esa IP y más de 300 con inicio de sesión exitoso; ConnectWise deshabilita las aplicaciones implicadas |
Las cifras se movieron rápido: The Hacker News citó 173 tenants el mismo 17, y el conteo de más de 300 es de la actualización de Huntress de esa tarde. El número final todavía no se conoce, y Huntress solo ve a sus propios clientes.
Por qué el doble factor no sirvió
Cuando conectas un servicio de respaldo a Microsoft 365, le das a su aplicación permisos amplios y permanentes: leer buzones, archivos y el directorio. SpecterOps señala que entre ellos estaba Directory.ReadWrite.All, que permite modificar usuarios, grupos y aplicaciones. La aplicación se identifica con una credencial que vive en el tenant del fabricante, no en el tuyo.
Quien tenga esa credencial puede pedir tokens a nombre del respaldo en cualquier tenant que lo haya autorizado. No hay usuario, así que no hay MFA, ni alerta de inicio de sesión raro en la cuenta de nadie. Es la misma lógica de las aplicaciones OAuth maliciosas que vimos este mes, con una diferencia que empeora las cosas: aquí la aplicación era legítima y tú la habías aprobado.
ConnectWise dice que no tiene indicios de que los datos respaldados se hayan comprometido y que los archivos existentes no se vieron afectados. Tampoco ha explicado cómo se filtró la credencial. Huntress, por su parte, no vio acceso a correo ni archivos en el tenant que revisó a fondo, pero advierte que las lecturas del directorio por Microsoft Graph no dejan rastro en bitácoras: "se emitieron tokens, no se ve que se llevaran nada" no equivale a "no pasó nada".
Qué hacer hoy en tu Microsoft 365
Estos pasos combinan las recomendaciones de Huntress, SpecterOps y Microsoft. Si tu tenant lo administra un proveedor, pídele que los haga y te confirme cada uno por escrito.
- Busca las aplicaciones. En el centro de administración de Entra → Aplicaciones empresariales, quita el filtro de tipo y busca "SkyKick", "ConnectWise" o estos ID:
Aplicación ID ConnectWise Cloud Backup (SkyKick) 506e08f9-6e9a-4da4-942b-a099a03644ae Cloud Management 2399d300-6fca-4e6a-a686-399fefe75b83 Cloud Management – MS Teams 24205314-2b89-4e07-a2a4-579e898a5640 Cloud Management – Exchange Online b78f6a77-d4e5-46fb-87e5-d1648bd02519 Cloud Management – SharePoint Online b2b55f5b-7758-4719-8d8f-88ae172e6bdb Cloud Management – MS Graph 0de14c77-b9b0-4137-9360-34878a929827 Cloud Management – Partner Center 412dcf96-176d-4b3a-a1b0-4981ad66971e - Deshabilítalas, no las borres. En Propiedades, pon "Habilitado para que los usuarios inicien sesión" en No. Borrarlas quita el consentimiento y complica volver a configurarlas. Los tokens ya emitidos pueden seguir sirviendo un rato (SpecterOps habla de hasta 90 minutos), así que no des el asunto por cerrado al apagarlas.
- Revisa sus roles. En Roles y administradores, mira si alguna de esas aplicaciones tiene Administrador global, Administrador de Exchange o Administrador de autenticación privilegiada. Quita lo que nadie asignó a propósito.
- Busca claves nuevas en todas tus aplicaciones. En Registros de aplicaciones y Aplicaciones empresariales, revisa secretos y certificados agregados desde el 13 de octubre, sobre todo en herramientas de administración y de seguridad. El atacante los usó para quedarse aunque se apague la app original.
- Revisa los inicios de sesión de entidades de servicio. En Supervisión → Inicios de sesión → pestaña de entidades de servicio, filtra por los ID de la tabla y busca la IP 144.172.64.128 o cualquier dirección que no sea de Microsoft, especialmente entre el 15 y el 16 de octubre. Un resultado limpio no prueba que no entraron.
- No las vuelvas a habilitar hasta que ConnectWise confirme que cambió todas sus credenciales. Mientras tanto no habrá respaldos nuevos: pregunta a tu proveedor qué retención tienes y cómo cubrir esos días.
- Si ya no usas SkyKick, revoca el consentimiento y elimínala cuando pase la emergencia.
Tu proveedor de TI es parte de tu superficie de ataque
Es la tercera vez en un mes que una herramienta pensada para que un proveedor administre a muchos clientes termina abriendo la puerta a todos ellos: ayer fue la consola de soporte remoto de BeyondTrust y la consola central de Fortinet, y en septiembre el RMM de N-able. Trabajar con un proveedor de servicios administrados sigue teniendo sentido, pero conviene saber qué instaló en tu tenant, con qué permisos y qué pasa si él cae.
Pregúntale esta semana qué aplicaciones de terceros tiene tu Microsoft 365, con qué permisos y quién las autorizó; cómo te avisará si uno de sus fabricantes sufre un incidente, y si tu respaldo depende de una sola nube. Un buen esquema de respaldo para sobrevivir a un ataque incluye al menos una copia que no comparta credenciales con el sistema principal, y al elegir proveedor de TI esas respuestas deberían quedar en el contrato.
Si quieres que revisemos tu tenant (aplicaciones, roles, credenciales y bitácoras) o tu respaldo en la nube, lo hacemos dentro de nuestros servicios de ciberseguridad y cloud.
Microsoft 365 y aplicaciones de terceros
¿Sabes qué aplicaciones tienen las llaves de tu Microsoft 365?
Auditamos las aplicaciones conectadas a tu tenant, sus permisos y las credenciales añadidas, y te entregamos qué apagar hoy.
