Un ataque a la cadena de suministro de ConnectWise compromete clientes de Microsoft 365

La empresa de software ConnectWise clausuró a las 05:01 UTC del 17 de octubre de 2026 el acceso a su herramienta ConnectWise Cloud Backup tras detectar intrusiones en entornos corporativos de Microsoft 365. Ciberdelincuentes no identificados obtuvieron las credenciales de la identidad de la aplicación del proveedor, anteriormente conocida como SkyKick, y las emplearon para acceder a datos internos de empresas clientes sin necesidad de interactuar con cuentas de usuario.

La firma de ciberseguridad Huntress confirmó intrusiones en al menos 173 organizaciones vinculadas a sus servicios de monitorización. Por su parte, la división de inteligencia sobre amenazas de Microsoft calificó el incidente como un ataque activo a la cadena de suministro e indicó que las autenticaciones no autorizadas comenzaron a detectarse de forma masiva el 15 de octubre de 2026 desde la dirección IP 144.172.64[.]128.

ConnectWise comunicó en un aviso de seguridad que, hasta el momento de la desconexión, no dispone de pruebas que indiquen la sustracción o alteración de los archivos de copia de seguridad ya almacenados. La compañía mantiene abierta una investigación interna mientras aplica medidas de mitigación para aislar los sistemas afectados.

El mecanismo de autenticación y evasión del control multifactor

El servicio de copia de seguridad depende de entidades de servicio en Microsoft Entra ID, que son identidades asignadas a software para ejecutar tareas automatizadas en la nube. Según los análisis publicados por Todyl, los atacantes utilizaron el secreto criptográfico legítimo de la aplicación para solicitar tokens de acceso a la interfaz Microsoft Graph, el punto de comunicación entre los servicios de Microsoft 365. Al tratarse de una conexión directa entre aplicaciones, los controles tradicionales como la autenticación multifactor quedaron anulados de forma inmediata.

La herramienta de respaldo dispone de autorizaciones de alto nivel en cada entorno corporativo para realizar copias de seguridad de buzones de correo, archivos de OneDrive, bibliotecas de SharePoint y chats de Microsoft Teams. Todyl explicó que la posesión de estas credenciales otorgó a los atacantes capacidad técnica para leer y modificar información sensible de clientes en todos los inquilinos donde la aplicación estaba autorizada.

Huntress constató que los accesos del 15 de octubre de 2026 se produjeron entre las 06:13 y las 08:34 UTC mediante un script automatizado que recorrió los identificadores únicos de cada cliente en orden secuencial con pocos segundos de diferencia. La misma dirección IP había ejecutado intentos de ataque por fuerza bruta de contraseñas contra cuatro bufetes de abogados entre el 13 y el 14 de octubre de 2026 utilizando agentes de usuario vinculados a librerías Python y curl.

Escalada de privilegios y persistencia en los entornos afectados

Aunque Todyl documentó que en nueve de los clientes analizados los atacantes solo realizaron lecturas y no modificaron permisos, Huntress observó comportamientos más agresivos en otras redes. En cerca de cincuenta entornos monitorizados, aplicaciones de gestión asociadas a ConnectWise asignaron a sus identidades funciones administrativas del directorio, principalmente la de administrador de Exchange.

En al menos una compañía afectada, los atacantes lograron establecer mecanismos de persistencia en una operación que se prolongó durante cinco minutos. Durante ese intervalo, la aplicación de ConnectWise vinculada a Microsoft Teams se autoasignó privilegios de administrador global e inyectó nuevas claves de acceso en otras dos herramientas de confianza: una plataforma de gestión para proveedores de servicios gestionados y la propia consola de Huntress Security Platform.

Microsoft confirmó que detectó actividades de reconocimiento a través de Microsoft Graph API y maniobras para añadir credenciales secundarias como puertas traseras. La multinacional tecnológica señaló que los atacantes abusaron de permisos previos de alto impacto, como la autorización para leer y modificar directorios de forma integral.

Medidas de contención requeridas para los administradores

Todyl advirtió de que deshabilitar la aplicación dentro del portal administrativo frena la emisión de nuevos identificadores de acceso, pero no invalida los ya emitidos, que conservan una vigencia de hasta noventa minutos. Asimismo, revocar las sesiones activas de usuarios humanos no tiene ningún efecto sobre las conexiones establecidas mediante identidades de aplicación.

Huntress y Microsoft recomendaron a los equipos técnicos revisar los registros de acceso de entidades de servicio en Microsoft Entra ID filtrando por el identificador de aplicación 506e08f9-6e9a-4da4-942b-a099a03644ae. Los administradores deben buscar conexiones que procedan de direcciones IP externas a la red privada habitual de Azure y verificar si se han añadido secretos o certificados no autorizados a cualquier aplicación desde el 13 de octubre de 2026.

La prioridad inmediata para los equipos de seguridad consiste en localizar credenciales añadidas de forma clandestina en aplicaciones de administración ajenas a ConnectWise, ya que la desconexión del servicio del proveedor no elimina los accesos persistentes configurados en los entornos comprometidos.