[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"blog-/blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos":3,"prev-/blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos":473,"next-/blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos":451,"related-/blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos":476,"author-Diego Herrera":496},{"id":4,"title":5,"author":6,"authorUrl":7,"body":8,"category":428,"cta":429,"date":434,"dateModified":434,"description":435,"draft":436,"extension":437,"faq":438,"featured":436,"howto":451,"image":452,"imageAlt":453,"intent":454,"keywords":455,"meta":460,"navigation":461,"path":462,"publishedTime":463,"readingTime":464,"seo":465,"seoTitle":466,"stem":467,"tags":468,"__hash__":472},"blog/blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos.md","Roban la llave del respaldo de ConnectWise (SkyKick) y entran a cientos de tenants de Microsoft 365","Diego Herrera","/autores/diego-herrera",{"type":9,"value":10,"toc":419},"minimark",[11,35,42,47,56,156,163,167,178,190,197,205,208,212,215,364,368,386,399,410],[12,13,14,18,19,22,23,30,31,34],"p",{},[15,16,17],"strong",{},"ConnectWise apagó el 17 de octubre de 2026 el acceso a su servicio ConnectWise Cloud Backup (antes SkyKick Cloud Backup)"," después de que un atacante usara la credencial de esa aplicación para iniciar sesión en tenants de Microsoft 365 de sus clientes. Microsoft lo calificó como un ",[15,20,21],{},"ataque activo a la cadena de suministro",", según ",[24,25,29],"a",{"href":26,"rel":27},"https://www.bleepingcomputer.com/news/security/hackers-breach-microsoft-365-tenants-via-connectwise-supply-chain-attack/",[28],"nofollow","BleepingComputer",". El intruso no necesitó robar ninguna contraseña de usuario ni saltarse el doble factor: entró ",[15,32,33],{},"como si fuera el servicio de respaldo",", con los permisos que cada empresa le había dado.",[12,36,37,38,41],{},"El caso importa a muchas PyMEs mexicanas aunque nunca hayan oído el nombre. SkyKick se vendió durante años ",[15,39,40],{},"a través de proveedores de TI y revendedores de Microsoft",", que lo instalaban para respaldar correo, OneDrive, SharePoint y Teams de sus clientes. Si tu Microsoft 365 lo contrató un proveedor, la aplicación puede estar en tu tenant sin que nadie en tu empresa lo recuerde.",[43,44,46],"h2",{"id":45},"qué-pasó-en-orden","Qué pasó, en orden",[12,48,49,50,55],{},"La reconstrucción más detallada es la de ",[24,51,54],{"href":52,"rel":53},"https://www.huntress.com/blog/vendor-credential-enables-unauthorized-access",[28],"Huntress",", que fue la primera en dar la alerta. Horas en UTC (resta seis para la hora del centro de México):",[57,58,59,72],"table",{},[60,61,62],"thead",{},[63,64,65,69],"tr",{},[66,67,68],"th",{},"Fecha y hora (UTC)",[66,70,71],{},"Qué ocurrió",[73,74,75,89,101,113,121,132,140],"tbody",{},[63,76,77,81],{},[78,79,80],"td",{},"13 y 14 de octubre",[78,82,83,84,88],{},"Desde la IP 144.172.64",[85,86,87],"span",{},".","128 se intentan contraseñas contra cuatro despachos jurídicos; dos cuentas quedan bloqueadas, sin accesos exitosos",[63,90,91,94],{},[78,92,93],{},"15 de octubre, desde 01:58",[78,95,96,97,100],{},"En unos 50 tenants vigilados por Huntress, aplicaciones \"Cloud Management\" de ConnectWise ",[15,98,99],{},"se asignan a sí mismas"," roles de directorio, sobre todo Administrador de Exchange",[63,102,103,106],{},[78,104,105],{},"15 de octubre, 03:44–03:49",[78,107,108,109,112],{},"En un tenant, la app Cloud Management para Teams se da ",[15,110,111],{},"Administrador global"," y un script agrega claves secretas a otras dos aplicaciones, una de ellas la de la propia Huntress",[63,114,115,118],{},[78,116,117],{},"15 de octubre, 06:13–08:34",[78,119,120],{},"La app de Cloud Backup inicia sesión desde la IP del atacante en tenants recorridos en orden, con segundos de diferencia: un script con lista de objetivos",[63,122,123,126],{},[78,124,125],{},"16 de octubre, 19:00",[78,127,128,129],{},"Huntress confirma accesos no autorizados en ",[15,130,131],{},"162 tenants",[63,133,134,137],{},[78,135,136],{},"17 de octubre, 05:01",[78,138,139],{},"ConnectWise anuncia la suspensión del servicio, sin fecha de regreso",[63,141,142,145],{},[78,143,144],{},"17 de octubre, tarde",[78,146,147,148,151,152,155],{},"Huntress reporta casi ",[15,149,150],{},"1,000 tenants"," con intentos desde esa IP y ",[15,153,154],{},"más de 300"," con inicio de sesión exitoso; ConnectWise deshabilita las aplicaciones implicadas",[12,157,158,159,162],{},"Las cifras se movieron rápido: The Hacker News citó 173 tenants el mismo 17, y el conteo de más de 300 es de la actualización de Huntress de esa tarde. ",[15,160,161],{},"El número final todavía no se conoce",", y Huntress solo ve a sus propios clientes.",[43,164,166],{"id":165},"por-qué-el-doble-factor-no-sirvió","Por qué el doble factor no sirvió",[12,168,169,170,173,174,177],{},"Cuando conectas un servicio de respaldo a Microsoft 365, le das a su aplicación permisos amplios y permanentes: leer buzones, archivos y el directorio. SpecterOps señala que entre ellos estaba ",[15,171,172],{},"Directory.ReadWrite.All",", que permite modificar usuarios, grupos y aplicaciones. La aplicación se identifica con una credencial que ",[15,175,176],{},"vive en el tenant del fabricante",", no en el tuyo.",[12,179,180,181,184,185,189],{},"Quien tenga esa credencial puede pedir tokens a nombre del respaldo en cualquier tenant que lo haya autorizado. No hay usuario, así que ",[15,182,183],{},"no hay MFA",", ni alerta de inicio de sesión raro en la cuenta de nadie. Es la misma lógica de las ",[24,186,188],{"href":187},"/blog/noticias/ghostcode-phishing-oauth-microsoft-365","aplicaciones OAuth maliciosas"," que vimos este mes, con una diferencia que empeora las cosas: aquí la aplicación era legítima y tú la habías aprobado.",[12,191,192,193,196],{},"ConnectWise dice que ",[15,194,195],{},"no tiene indicios de que los datos respaldados se hayan comprometido"," y que los archivos existentes no se vieron afectados. Tampoco ha explicado cómo se filtró la credencial. Huntress, por su parte, no vio acceso a correo ni archivos en el tenant que revisó a fondo, pero advierte que las lecturas del directorio por Microsoft Graph no dejan rastro en bitácoras: \"se emitieron tokens, no se ve que se llevaran nada\" no equivale a \"no pasó nada\".",[198,199,202],"callout",{"icon":200,"title":201},"i-lucide-triangle-alert","Las aplicaciones que tú aprobaste también son cuentas",[12,203,204],{},"Una aplicación con permisos sobre todo tu Microsoft 365 es, en la práctica, un administrador sin doble factor. Si su fabricante sufre un robo de credenciales, el atacante hereda esos permisos en todos sus clientes a la vez.",[206,207],"ad-banner",{},[43,209,211],{"id":210},"qué-hacer-hoy-en-tu-microsoft-365","Qué hacer hoy en tu Microsoft 365",[12,213,214],{},"Estos pasos combinan las recomendaciones de Huntress, SpecterOps y Microsoft. Si tu tenant lo administra un proveedor, pídele que los haga y te confirme cada uno por escrito.",[216,217,218,300,314,323,339,352,358],"ol",{},[219,220,221,224,225,229,230],"li",{},[15,222,223],{},"Busca las aplicaciones."," En el centro de administración de Entra → ",[226,227,228],"em",{},"Aplicaciones empresariales",", quita el filtro de tipo y busca \"SkyKick\", \"ConnectWise\" o estos ID:",[57,231,232,242],{},[60,233,234],{},[63,235,236,239],{},[66,237,238],{},"Aplicación",[66,240,241],{},"ID",[73,243,244,252,260,268,276,284,292],{},[63,245,246,249],{},[78,247,248],{},"ConnectWise Cloud Backup (SkyKick)",[78,250,251],{},"506e08f9-6e9a-4da4-942b-a099a03644ae",[63,253,254,257],{},[78,255,256],{},"Cloud Management",[78,258,259],{},"2399d300-6fca-4e6a-a686-399fefe75b83",[63,261,262,265],{},[78,263,264],{},"Cloud Management – MS Teams",[78,266,267],{},"24205314-2b89-4e07-a2a4-579e898a5640",[63,269,270,273],{},[78,271,272],{},"Cloud Management – Exchange Online",[78,274,275],{},"b78f6a77-d4e5-46fb-87e5-d1648bd02519",[63,277,278,281],{},[78,279,280],{},"Cloud Management – SharePoint Online",[78,282,283],{},"b2b55f5b-7758-4719-8d8f-88ae172e6bdb",[63,285,286,289],{},[78,287,288],{},"Cloud Management – MS Graph",[78,290,291],{},"0de14c77-b9b0-4137-9360-34878a929827",[63,293,294,297],{},[78,295,296],{},"Cloud Management – Partner Center",[78,298,299],{},"412dcf96-176d-4b3a-a1b0-4981ad66971e",[219,301,302,305,306,309,310,313],{},[15,303,304],{},"Deshabilítalas, no las borres."," En ",[226,307,308],{},"Propiedades",", pon \"Habilitado para que los usuarios inicien sesión\" en ",[15,311,312],{},"No",". Borrarlas quita el consentimiento y complica volver a configurarlas. Los tokens ya emitidos pueden seguir sirviendo un rato (SpecterOps habla de hasta 90 minutos), así que no des el asunto por cerrado al apagarlas.",[219,315,316,305,319,322],{},[15,317,318],{},"Revisa sus roles.",[226,320,321],{},"Roles y administradores",", mira si alguna de esas aplicaciones tiene Administrador global, Administrador de Exchange o Administrador de autenticación privilegiada. Quita lo que nadie asignó a propósito.",[219,324,325,305,328,331,332,334,335,338],{},[15,326,327],{},"Busca claves nuevas en todas tus aplicaciones.",[226,329,330],{},"Registros de aplicaciones"," y ",[226,333,228],{},", revisa secretos y certificados agregados ",[15,336,337],{},"desde el 13 de octubre",", sobre todo en herramientas de administración y de seguridad. El atacante los usó para quedarse aunque se apague la app original.",[219,340,341,305,344,347,348,351],{},[15,342,343],{},"Revisa los inicios de sesión de entidades de servicio.",[226,345,346],{},"Supervisión"," → ",[226,349,350],{},"Inicios de sesión"," → pestaña de entidades de servicio, filtra por los ID de la tabla y busca la IP 144.172.64.128 o cualquier dirección que no sea de Microsoft, especialmente entre el 15 y el 16 de octubre. Un resultado limpio no prueba que no entraron.",[219,353,354,357],{},[15,355,356],{},"No las vuelvas a habilitar"," hasta que ConnectWise confirme que cambió todas sus credenciales. Mientras tanto no habrá respaldos nuevos: pregunta a tu proveedor qué retención tienes y cómo cubrir esos días.",[219,359,360,363],{},[15,361,362],{},"Si ya no usas SkyKick",", revoca el consentimiento y elimínala cuando pase la emergencia.",[43,365,367],{"id":366},"tu-proveedor-de-ti-es-parte-de-tu-superficie-de-ataque","Tu proveedor de TI es parte de tu superficie de ataque",[12,369,370,371,375,376,380,381,385],{},"Es la tercera vez en un mes que una herramienta pensada para que un proveedor administre a muchos clientes termina abriendo la puerta a todos ellos: ayer fue la ",[24,372,374],{"href":373},"/blog/noticias/beyondtrust-fortinet-explotadas-acceso-remoto-proveedores","consola de soporte remoto de BeyondTrust y la consola central de Fortinet",", y en septiembre el ",[24,377,379],{"href":378},"/blog/noticias/n-able-n-central-cve-2026-86218-rmm","RMM de N-able",". Trabajar con un ",[24,382,384],{"href":383},"/blog/guia-empresarial/que-es-msp-servicios-administrados","proveedor de servicios administrados"," sigue teniendo sentido, pero conviene saber qué instaló en tu tenant, con qué permisos y qué pasa si él cae.",[12,387,388,389,393,394,398],{},"Pregúntale esta semana qué aplicaciones de terceros tiene tu Microsoft 365, con qué permisos y quién las autorizó; cómo te avisará si uno de sus fabricantes sufre un incidente, y si tu respaldo depende de una sola nube. Un buen esquema de ",[24,390,392],{"href":391},"/blog/tutorial/respaldo-sobrevivir-ransomware","respaldo para sobrevivir a un ataque"," incluye al menos una copia que no comparta credenciales con el sistema principal, y al ",[24,395,397],{"href":396},"/blog/guia-empresarial/elegir-proveedor-servicios-it","elegir proveedor de TI"," esas respuestas deberían quedar en el contrato.",[12,400,401,402,331,406,87],{},"Si quieres que revisemos tu tenant (aplicaciones, roles, credenciales y bitácoras) o tu respaldo en la nube, lo hacemos dentro de nuestros servicios de ",[24,403,405],{"href":404},"/servicios/ciberseguridad","ciberseguridad",[24,407,409],{"href":408},"/servicios/cloud","cloud",[411,412],"call-to-action",{"description":413,"eyebrow":414,"icon":415,"label":416,"title":417,"to":418},"Auditamos las aplicaciones conectadas a tu tenant, sus permisos y las credenciales añadidas, y te entregamos qué apagar hoy.","Microsoft 365 y aplicaciones de terceros","i-lucide-calendar-check","Agendar revisión","¿Sabes qué aplicaciones tienen las llaves de tu Microsoft 365?","/contacto",{"title":420,"searchDepth":421,"depth":422,"links":423},"",2,3,[424,425,426,427],{"id":45,"depth":421,"text":46},{"id":165,"depth":421,"text":166},{"id":210,"depth":421,"text":211},{"id":366,"depth":421,"text":367},"noticias",{"title":430,"description":431,"label":432,"to":404,"icon":433},"Revisamos las aplicaciones conectadas a tu Microsoft 365","Auditamos aplicaciones empresariales, permisos, roles de administrador y credenciales añadidas en Entra, y te decimos qué deshabilitar.","Ver ciberseguridad","i-lucide-shield-check","2026-10-17","Un atacante usó la credencial del respaldo ConnectWise Cloud Backup (antes SkyKick) para entrar a cientos de Microsoft 365 sin MFA. Qué revisar hoy en Entra.",false,"md",[439,442,445,448],{"question":440,"answer":441},"¿Cómo sé si mi empresa tiene la aplicación de ConnectWise o SkyKick?","Entra al centro de administración de Microsoft Entra, abre Aplicaciones empresariales, quita el filtro de tipo de aplicación y busca 'SkyKick', 'ConnectWise' o el ID 506e08f9-6e9a-4da4-942b-a099a03644ae. Si tu proveedor de TI te contrató el respaldo de Microsoft 365 hace años, puede seguir ahí aunque ya no lo uses.",{"question":443,"answer":444},"Tengo doble factor (MFA) en todas las cuentas, ¿me protege?","No en este caso. El atacante no entró con una cuenta de usuario sino como la propia aplicación de respaldo, usando su credencial. Las aplicaciones no pasan por MFA, por eso los permisos que les das cuentan tanto como las contraseñas.",{"question":446,"answer":447},"¿Debo borrar la aplicación?","Huntress recomienda deshabilitarla, no borrarla: en Propiedades de la aplicación, pon 'Habilitado para que los usuarios inicien sesión' en No. Borrarla elimina el consentimiento y obliga a configurarla de nuevo. Mientras esté deshabilitada no habrá respaldos nuevos, así que confirma con tu proveedor cómo cubrir esos días.",{"question":449,"answer":450},"¿Se robaron mis correos o archivos respaldados?","Al 17 de octubre no está confirmado. ConnectWise dice que no tiene indicios de que los datos respaldados se comprometieran, y Huntress no vio acceso a correo ni archivos en el tenant que revisó a fondo. Pero las lecturas del directorio por Graph no dejan rastro, así que el riesgo no se puede descartar.",null,"/images/blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos.jpg","Nube de respaldo conectada a varios tenants de Microsoft 365, con una llave roja que abre todos a la vez","informational",[456,457,458,459],"connectwise cloud backup skykick","ataque cadena de suministro microsoft 365","aplicaciones empresariales entra id","skykick hackeo octubre 2026",{},true,"/blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos","2026-10-17T15:30:00-06:00",5,{"title":5,"description":435},"ConnectWise SkyKick: ataque a tenants de Microsoft 365","blog/noticias/connectwise-skykick-backup-microsoft-365-tenants-comprometidos",[405,469,470,471],"microsoft 365","cadena de suministro","respaldos","MEifZZzYJuEmn3LKsWngkd2Hnc6Lyfidtb94SnUGBC0",{"path":474,"title":475},"/blog/noticias/smtp-auth-basica-microsoft-365-fin-diciembre","La multifuncional, el ERP y los avisos automáticos: lo que dejará de enviar correo en Microsoft 365 a fin de año",[477,484,490],{"path":478,"title":479,"description":480,"date":434,"category":428,"image":481,"imageAlt":482,"readingTime":483},"/blog/noticias/reglas-antilavado-actividades-vulnerables-30-noviembre","Reglas antilavado: el 30 de noviembre arrancan las nuevas obligaciones para quien vende autos, construye o ofrece crédito","Las nuevas reglas antilavado entran en vigor el 30 de noviembre de 2026. Fechas, montos en pesos y qué preparar en tu ERP si tienes actividades vulnerables.","/images/blog/noticias/reglas-antilavado-actividades-vulnerables-30-noviembre.jpg","Gerente administrativa revisando en su computadora el expediente de un cliente junto a un calendario marcado en noviembre",6,{"path":485,"title":486,"description":487,"date":434,"category":428,"image":488,"imageAlt":489,"readingTime":464},"/blog/noticias/midnight-mimosa-celulares-android-baratos-malware","Celulares Android baratos que ya traen malware de fábrica: México encabeza las detecciones","Bitdefender halló malware de fábrica en celulares Android baratos y clones; México tiene más detecciones que nadie. Qué revisar en los equipos de tu empresa.","/images/blog/noticias/midnight-mimosa-celulares-android-baratos-malware.jpg","Varios celulares Android económicos sobre un escritorio de oficina, uno con la pantalla mostrando una alerta de seguridad",{"path":491,"title":492,"description":493,"date":434,"category":428,"image":494,"imageAlt":495,"readingTime":464},"/blog/noticias/marca-agua-texto-ia-chatgpt-claude-textgrain","El texto que escribe la IA ya lleva marca de agua invisible: qué cambia con ChatGPT y Claude","OpenAI marcará el texto de ChatGPT en Europa y Anthropic ya marca el de Claude en todo el mundo. Qué detecta, qué no prueba y qué significa para tu empresa.","/images/blog/noticias/marca-agua-texto-ia-chatgpt-claude-textgrain.jpg","Documento en pantalla con un patrón de marca de agua apenas visible sobre el texto, en una oficina",{"id":497,"avatar":451,"bio":498,"entityType":499,"expertise":500,"extension":501,"meta":502,"name":6,"role":503,"slug":504,"social":451,"stem":505,"url":7,"__hash__":506},"authors/authors/diego-herrera.yml","Ingeniero en ciberseguridad e infraestructura IT. Protege la operación de empresas mexicanas contra amenazas y caídas de servicio.","Person","Diego lidera los proyectos de ciberseguridad e infraestructura de Syswork México. Ha ejecutado auditorías de seguridad, hardening de servidores, despliegues de redes y planes de continuidad para empresas en sectores críticos. Escribe sobre seguridad, servidores, cloud y redes con un enfoque defensivo y orientado a riesgos reales del negocio.","yml",{},"Especialista en Ciberseguridad e Infraestructura","diego-herrera","authors/diego-herrera","vrWQ35_ItOQjxvsvvG7wu5-wWk5ytSOlz-Ij9viIvzM"]