ConnectWise desactiva 7 identidades de app e revoga certificados do Cloud Backup após incidente

O provedor de software de gerenciamento TI ConnectWise confirmou que em 17 de outubro de 2026 desababilitou sete identidades de aplicativo e convocou certificados relacionados ao seu serviço de Cloud Backup após detectar acessos não autorizados que permitiram a atores desconhecidos usar essas credenciais para autenticar-se ante inquilinos da Microsoft 365. ConnectWise suspendeu temporariamente os serviços SaaS Security e Cloud Management e deixou inoperativos os backups programados, embora afirma que os arquivos de cópia existentes permanecem criptografados, isolados e sem evidência de acesso malicioso até agora.

Fatos confirmados: ConnectWise deshabilitou as sete identidades de aplicação enumeradas pela empresa e revogou certificados de Cloud Backup em 17 de outubro às 07:00 UTC; detectou a incidência em 14 de outubro mediante sua monitoração; e declarou que as deshabilitações impedem novas autenticações por essas conexões, mas não revertem mudanças já realizadas dentro de um tenant. Além disso, a empresa informou que não tem observado atividade maliciosa adicional nos ambientes que monitoram desde a implementação de suas mitigações, embora admite que não pode ver diretamente o estado dos ambientes de clientes downstream.

Contexto técnico e por que isto é grave: as aplicações registadas na Microsoft Entra ID (antes Azure AD) dispõem de credenciais (sean segredos de cliente ou certificados) que permitem que a aplicação solicite tokens de acesso sem necessidade da senha de cada usuário. Se um ator obter uma dessas credenciais, você pode trocar por tokens e agir com as permissões que a aplicação já tem em um tenant. Com as amplas capacidades que o ConnectWise precisa para gerenciar e apoiar ambientes (acesso ao Exchange, SharePoint, Teams, Graph, etc.), o roubo de uma credencial possibilita desde leitura de buzones e documentos até a criação de novas aplicações, a adição de segredos a aplicações existentes e a elevação de privilégios por alocação de papéis ou mudanças na configuração da pasta.

Pesquisas externas e alcance conhecido: o provedor de cibersegurança Huntress relatou ter observado inícios de sessão associados a um endereço IP ligado à atividade não autorizada, com quase 1.000 tenants de Entra com atividade desde esse IP e cerca de 300 logins bem-sucedidos. Huntress também aponta para tentativas direcionadas sobre aplicações de gestão no Exchange Online, Teams e SharePoint, e confirma abuso do aplicativo de Teams em pelo menos um tenant. Esses dados provêm de sua análise e não representam uma auditoria completa de todos os clientes.

O que ainda não está claro: ConnectWise indica que o mecanismo exato de exposição de credenciais é desconhecido e que, por agora, não pode afirmar se uma vulnerabilidade de produto contribuiu para o compromisso. Também não há confirmação pública e completa sobre quais clientes concretos sofreram acesso persistente ou exfiltração; a empresa e terceiros continuam a investigar.

Consequências práticas para organizações e MSP: 1) perda temporária de capacidade de restauração de backups e pausas nas cópias programadas; 2) risco de acesso não autorizado persistente dentro de tenants se o ator adicionou segredos ou papéis; 3) potencial exposição de correio, arquivos, chats e dados de diretório de acordo com permissões das aplicações comprometidas. Para sectores regulamentados ou de alto risco (segurança nacional, comércio, etc.) a exposição pode implicar incumprimento regulamentar e notificações obrigatórias.

Medidas imediatas e concretas a tomar administradores e fornecedores geridos (priorizar de acordo com o impacto):

Preservar as evidências: salvar logs de sign-in e de auditoria de Entra ID e Exchange desde 13 de outubro em frente antes de realizar contenções que os borren.

Procurar uma actividade suspeita: revisar inícios de sessão e eventos de auditoria à procura do IP relatado (144.172.64.128) e outros indicadores de compromisso entre 13 de outubro e data atual; verificar tokens emitidos e usuários ou aplicativos com atividade incomum.

Auditar e conter identidades de aplicação: Listar todas as app registrations e service principals em cada tenant, verificar proprietários, segredos e certificados com data de criação recente, e revogar ou rotar segredos desconhecidos. Manter as ligações afectadas notificadas pelo ConnectWise até nova notificação.

Verificar papéis e permissões: auditar as designações de papéis privilegiados (Global Admin, Application Administrator, Cloud Application Administrator), reverter alterações não autorizadas e limitar quem pode conceder permissões a aplicações. Rever consentimentos de delegação e OAuth2PermissionGrants.

Procurar persistência e comportamento malicioso: verificar a criação recente de aplicações, o client secrets adicionados, regras de reenvio de correio, regras de transporte e delegações de caixa de correio; rever actividades de criação/edição de políticas e owners trocadas.

Reforçar os controlos da plataforma: aplicar políticas de gestão de aplicativos que restrinjam segredos de cliente e limitem sua duração, considerar Conditional Access para workload identities e Entra ID Protection para marcar principais riscosos. A Microsoft publica guias sobre objetos de aplicativo e service principais que ajudam nesses passos: App objects and service principals (Microsoft) e sobre identidades de carga de trabalho: Workload identity federation (Microsoft).

Comunicar e coordenar: os MSP devem informar imediatamente clientes afetados, compartilhar indicadores de compromisso e colaborar na revisão de seus tenants. Se houver suspeita de acesso real ou exfiltração, escalar equipas de resposta a incidentes e informar as autoridades competentes de acordo com a regulamentação aplicável.

Recomendações de mitigação a médio prazo: reduzir privilégios concedidos a aplicações (princípio de menor privilégio), limitar quem pode criar ou gerenciar aplicativos, aplicar governança sobre consentimentos, rotar certificados e segredos com cadências curtas, e considerar soluções de detecção que monitorizem atividade incomum de service principals. As ferramentas de proteção da Microsoft Entra e as políticas de gerenciamento de aplicativos ajudam a mitigar uso indevido se estiverem corretamente configuradas.

Conclusão: a exposição de credenciais de aplicações é um vetor que evita a necessidade de roubar credenciais humanas e facilita escalada e persistência em múltiplos tenants. Atuar rápido na preservação de evidências, revisão de service principals e revogação/rotação de credenciais é essencial, e as organizações devem assumir que qualquer aplicação com permissões amplas merece uma auditoria completa até que se confirme que não houve abuso. Para documentação técnica e passos específicos de gerenciamento de identidades, consulte os guias da Microsoft relacionados e mantenha-se atento às atualizações oficiais do ConnectWise em seu centro de avisos e segurança: ConnectWise Security Advisories.