ConnectWise desactiva 7 identidades de app y revoca certificados de Cloud Backup tras incidente

El proveedor de software de gestión TI ConnectWise confirmó que el 17 de octubre de 2026 deshabilitó siete identidades de aplicación y revocó certificados relacionados con su servicio de Cloud Backup tras detectar accesos no autorizados que permitieron a actores desconocidos usar esas credenciales para autenticarse ante inquilinos de Microsoft 365. ConnectWise ha suspendido temporalmente los servicios SaaS Security y Cloud Management y ha dejado inoperativos los backups programados, aunque afirma que los archivos de copia existentes permanecen cifrados, aislados y sin evidencia de acceso malicioso hasta ahora.

Hechos confirmados: ConnectWise deshabilitó las siete identidades de aplicación enumeradas por la compañía y revocó certificados de Cloud Backup el 17 de octubre a las 07:00 UTC; detectó la incidencia el 14 de octubre mediante su monitorización; y declaró que las deshabilitaciones impiden nuevas autenticaciones por esas conexiones pero no revierten cambios ya realizados dentro de un tenant. Además, la empresa comunicó que no ha observado actividad maliciosa adicional en los entornos que monitoriza desde la implementación de sus mitigaciones, aunque admite que no puede ver directamente el estado de los entornos de clientes downstream.

Contexto técnico y por qué esto es grave: las aplicaciones registradas en Microsoft Entra ID (antes Azure AD) disponen de credenciales —sean secretos de cliente o certificados— que permiten que la aplicación solicite tokens de acceso sin necesidad de la contraseña de cada usuario. Si un actor obtiene una de estas credenciales, puede intercambiarla por tokens y actuar con los permisos que la aplicación ya tiene en un tenant. Con las amplias capacidades que ConnectWise necesita para gestionar y respaldar entornos (acceso a Exchange, SharePoint, Teams, Graph, etc.), el robo de una credencial posibilita desde lectura de buzones y documentos hasta la creación de nuevas aplicaciones, la adición de secretos a aplicaciones existentes y la elevación de privilegios mediante asignación de roles o cambios en la configuración del directorio.

Investigaciones externas y alcance conocido: el proveedor de ciberseguridad Huntress informó haber observado inicios de sesión asociados a una dirección IP vinculada a la actividad no autorizada, con casi 1.000 tenants de Entra con actividad desde esa IP y alrededor de 300 inicios de sesión exitosos. Huntress además apunta a intentos dirigidos sobre aplicaciones de gestión en Exchange Online, Teams y SharePoint, y confirma abuso del app de Teams en al menos un tenant. Esos datos provienen de su análisis y no representan una auditoría completa de todos los clientes.

Lo que todavía no está claro: ConnectWise señala que se desconoce el mecanismo exacto de exposición de credenciales y que por ahora no puede afirmar si una vulnerabilidad de producto contribuyó al compromiso. Tampoco hay confirmación pública y completa sobre qué clientes concretos sufrieron acceso persistente o exfiltración; la compañía y terceros siguen investigando.

Consecuencias prácticas para organizaciones y MSP: 1) pérdida temporal de capacidad de restauración de backups y pausas en las copias programadas; 2) riesgo de acceso no autorizado persistente dentro de tenants si el actor añadió secretos o roles; 3) potencial exposición de correo, archivos, chats y datos de directorio según permisos de las aplicaciones comprometidas. Para sectores regulados o de alto riesgo (seguridad nacional, comercio, etc.) la exposición puede implicar incumplimiento normativo y notificaciones obligatorias.

Medidas inmediatas y concretas que deben tomar administradores y proveedores gestionados (priorizar según impacto):

Preservar evidencia: salvar logs de sign-in y de auditoría de Entra ID y Exchange desde el 13 de octubre en adelante antes de realizar contenciones que los borren.

Buscar actividad sospechosa: revisar inicios de sesión y eventos de auditoría buscando la IP reportada (144.172.64.128) y otros indicadores de compromiso entre el 13 de octubre y la fecha actual; verificar tokens emitidos y usuarios o aplicaciones con actividad inusual.

Auditar y contener identidades de aplicación: listar todas las app registrations y service principals en cada tenant, comprobar propietarios, secretos y certificados con fecha de creación reciente, y revocar o rotar secretos desconocidos. Mantener deshabilitadas las conexiones afectadas reportadas por ConnectWise hasta nueva notificación.

Comprobar roles y permisos: auditar asignaciones de roles privilegiados (Global Admin, Application Administrator, Cloud Application Administrator), revertir cambios no autorizados y limitar quién puede otorgar permisos a aplicaciones. Revisar consentimientos de delegación y OAuth2PermissionGrants.

Buscar persistencia y comportamiento malicioso: comprobar creación reciente de aplicaciones, client secrets añadidos, reglas de reenvío de correo, reglas de transporte y delegaciones de buzón; revisar actividades de creación/edición de políticas y owners cambiados.

Reforzar controles de plataforma: aplicar políticas de gestión de aplicaciones que restrinjan secretos de cliente y limiten su duración, considerar Conditional Access para workload identities y Entra ID Protection para marcar principals riesgosos. Microsoft publica guías sobre objetos de aplicación y service principals que ayudan en estos pasos: App objects and service principals (Microsoft) y sobre identidades de carga de trabajo: Workload identity federation (Microsoft).

Comunicarse y coordinar: los MSP deben informar inmediatamente a clientes afectados, compartir indicadores de compromiso y colaborar en la revisión de sus tenants. Si existen sospechas de acceso real o exfiltración, escalar a equipos de respuesta a incidentes e informar a las autoridades competentes según la regulación aplicable.

Recomendaciones de mitigación a medio plazo: reducir privilegios concedidos a aplicaciones (principio de menor privilegio), limitar quién puede crear o administrar aplicaciones, aplicar gobernanza sobre consentimientos, rotar certificados y secretos con cadencias cortas, y considerar soluciones de detección que monitoricen actividad inusual de service principals. Las herramientas de protección de Microsoft Entra y las políticas de gestión de aplicaciones ayudan a mitigar uso indebido si están correctamente configuradas.

Conclusión: la exposición de credenciales de aplicaciones es un vector que evita la necesidad de robar credenciales humanas y facilita escalada y persistencia en múltiples tenants. Actuar rápido en la preservación de evidencia, revisión de service principals y revocación/rotación de credenciales es esencial, y las organizaciones deben asumir que cualquier aplicación con permisos amplios merece una auditoría completa hasta que se confirme que no hubo abuso. Para documentación técnica y pasos específicos de administración de identidades consulte las guías de Microsoft enlazadas y manténgase atento a las actualizaciones oficiales de ConnectWise en su centro de avisos y seguridad: ConnectWise Security Advisories.