ConnectWise — Ataque a la Cadena de Suministro Afecta Inquilinos de Microsoft 365

Fecha de publicación: 17 de octubre de 2026
Categoría: Ataques a la Cadena de Suministro

Introducción

Investigaciones llevadas a cabo por plataformas de ciberseguridad y telemetría de Microsoft han expuesto un ataque a la cadena de suministro dirigido contra el ecosistema de copias de seguridad en la nube de ConnectWise (anteriormente conocido como SkyKick Cloud Backup). Los atacantes lograron acceder a identidades de aplicaciones de servicio autorizadas en Microsoft Entra ID, facilitando el ingreso no autorizado a más de 162 inquilinos de Microsoft 365 (tenants). La irrupción se materializó mediante solicitudes de autenticación automatizadas originadas desde la dirección IP 144.172.64[.]128, aprovechando privilegios elevados que las organizaciones habían concedido previamente a las herramientas de respaldo y gestión.

¿Qué es el Servicio de Respaldo Cloud de ConnectWise? (Análisis General)

El servicio ConnectWise Cloud Backup opera como una solución de respaldo y recuperación diseñada para proveedores de servicios administrados (MSPs) y departamentos de TI, permitiendo la protección de datos corporativos en plataformas en la nube como Microsoft 365 y Google Workspace.

Para interactuar con el entorno corporativo del cliente, estas soluciones dependen de un principio de confianza fundamentado en Microsoft Entra ID mediante una identidad de aplicación denominada “principal de servicio” (service principal). Esta entidad dota al software de permisos específicos para leer, escribir o gestionar recursos dentro del inquilino. En este incidente particular, no se ha emitido un identificador CVE formal (estimación razonada del vector de riesgo ante fallo lógico de identidad: CVSS 8.6 Alto, clasificado conceptualmente como CWE-269: Improper Privilege Management), ya que el vector de ataque explotó el abuso de privilegios inherentes y la persistencia de credenciales de aplicaciones legítimas en lugar de una vulnerabilidad de código tradicional.

¿Cómo funciona? (Análisis Técnico)

El análisis forense compartido por equipos de respuesta a incidentes de Microsoft, Huntress y Todyl describe una operativa sofisticada basada en la reutilización de secretos de aplicaciones y la automatización mediante scripts.

  • Flujo inicial de entrada y autenticación: El atacante se autenticó de manera directa contra Microsoft 365 emulando a la aplicación de respaldo legítima mediante su propio secreto (app secret). Dado que estas peticiones se ejecutaron a través de scripts automatizados (utilizando agentes de usuario como python-urllib y curl), el mecanismo de inicio de sesión no requirió la interacción de un usuario humano, lo que anuló por completo la efectividad de las directivas de autenticación multifactor (MFA).
  • Abuso de permisos y reconocimiento: Al hacer uso de la identidad de la aplicación que ya poseía un amplio abanico de permisos concedidos en cada inquilino, el actor malicioso obtuvo la capacidad técnica de leer y escribir correos electrónicos, archivos en OneDrive y SharePoint, además de historiales de chat en Microsoft Teams.
  • Persistencia y escalada de privilegios: En múltiples inquilinos monitorizados, los principales de servicio asociados a “ConnectWise Cloud Management” se asignaron a sí mismos roles de directorio críticos, predominantemente el rol de Exchange Administrator y, en casos específicos, el rol de Global Administrator. Asimismo, se observó la adición subrepticia de nuevas credenciales a herramientas de gestión de MSPs y la utilización de la API de Microsoft Graph para realizar tareas de reconocimiento y persistencia en ventanas de operación sumamente breves (aproximadamente cinco minutos).

Sistemas / Entornos Afectados

El incidente impacta directamente a organizaciones y proveedores de servicios administrados que utilizaban las suites de respaldo y gestión en la nube de ConnectWise (antes SkyKick). Los identificadores de aplicaciones (App IDs) comprometidos e implicados en la campaña comprenden:

  • ConnectWise Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae
  • ConnectWise Cloud Management: 2399d300-6fca-4e6a-a686-399fefe75b83
  • ConnectWise Cloud Management - MS Teams: 24205314-2b89-4e07-a2a4-579e898a5640
  • ConnectWise Cloud Management - Exchange Online: b78f6a77-d4e5-46fb-87e5-d1648bd02519
  • ConnectWise Cloud Management - MS Graph: 0de14c77-b9b0-4137-9360-34878a929827
  • ConnectWise Cloud Management - Partner Center: 412dcf96-176d-4b3a-a1b0-4981ad66971e
  • ConnectWise Cloud Management - SharePoint Online: b2b55f5b-7758-4719-8d8f-88ae172e6bdb

Mitigación y Detección

Remediación

Los administradores de sistemas y equipos de seguridad deben ejecutar de inmediato acciones de contención para mitigar el riesgo de persistencia remanente:

  1. Deshabilitar aplicaciones vulneradas: Suspender y revocar el acceso de las aplicaciones de ConnectWise Cloud Backup y Cloud Management implicadas en los inquilinos afectados.
  2. Revisión de credenciales y secretos: Auditar de forma exhaustiva todas las aplicaciones en Microsoft Entra ID para detectar la adición no autorizada de credenciales (secretos o certificados) desde el 13 de octubre en adelante, eliminando cualquier elemento extraño.
  3. Revocación de tokens: Tener en cuenta que la simple desactivación de la aplicación frena la emisión de nuevos tokens, pero los tokens de acceso existentes permanecen válidos hasta su expiración natural; por lo que se requiere auditar las sesiones activas a nivel de Graph API.

Detección

Para la identificación temprana de actividad anómala asociada a este vector de cadena de suministro, se recomienda aplicar los siguientes criterios de búsqueda e inspección en los registros de auditoría de Microsoft Entra:

  • Filtrar las solicitudes de inicio de sesión de aplicaciones buscando el ID de aplicación de Cloud Backup (506e08f9-6e9a-4da4-942b-a099a03644ae) y correlacionar con direcciones IP externas no confiables, específicamente rastreando la IP de origen reportada 144.172.64[.]128.
  • Inspeccionar peticiones provenientes de user-agents asociados a scripts automatizados, tales como python-urllib/3.12, python-requests/2.31, python-requests/2.34.2 o curl/7.88.1.
  • Monitorear modificaciones en los roles de directorio asignados a identidades de servicio, prestando especial atención a la autoasignación de roles como Exchange Administrator o Global Administrator.

“El abuso de credenciales de aplicaciones legítimas con permisos previamente consolidados demuestra cómo los atacantes eluden los controles tradicionales basados en usuarios, transformando herramientas de infraestructura confiables en vectores silenciosos de persistencia y reconocimiento.”

Recapitulando

El incidente de seguridad en el servicio Cloud Backup de ConnectWise evidencia la vulnerabilidad inherente a la confianza excesiva otorgada a aplicaciones de terceros dentro de entornos corporativos en la nube. Al comprometer identidades de servicio dotadas de privilegios amplios, los actores de amenazas lograron autenticarse de forma automatizada sin necesidad de vulnerar credenciales de usuario humano ni activar alertas de MFA. La rápida respuesta de los proveedores de plataforma y la contención proactiva subrayan la urgencia de mantener una auditoría estricta sobre los consentimientos OAuth, los secretos de aplicaciones y los roles de directorio asignados en arquitecturas SaaS.

Referencias