Ciberseguridad · Infraestructura Cloud
Ataque a ConnectWise: revisa las apps de tu Microsoft 365
¿Tu Microsoft 365 tiene apps con permisos de más? El ataque a ConnectWise entró sin pasar por el 2FA: cómo revisar tus integraciones hoy.
¿Qué pasó con ConnectWise y Microsoft 365?
El 17 de octubre de 2026, ConnectWise suspendió su servicio Cloud Backup (antes SkyKick) después de que un atacante usara las credenciales de sus propias aplicaciones para entrar a cuentas de Microsoft 365 de sus clientes. Huntress confirmó al menos 162 organizaciones afectadas en los entornos que monitorea. El atacante no robó contraseñas de usuarios: se autenticó como la aplicación de respaldo, con los permisos que las empresas le habían dado, y por eso la verificación en dos pasos no lo detuvo.
Resumen rápido
- El ataque entró por las identidades de aplicación de ConnectWise conectadas a Microsoft 365, no por los usuarios.
- Con los permisos ya concedidos, el atacante podía leer y escribir correo, archivos de OneDrive y SharePoint y chats de Teams.
- En casi 50 organizaciones, aplicaciones de ConnectWise se asignaron a sí mismas el rol de administrador de Exchange; en un caso, el de administrador global.
- Microsoft lo calificó como un ataque activo a la cadena de suministro.
- ConnectWise dice que los respaldos almacenados siguen cifrados y sin señales de compromiso. No hay fecha de restablecimiento.
Cronología del incidente
| Fecha | Qué pasó |
|---|---|
| 13 y 14 de octubre | Huntress detecta intentos automatizados de inicio de sesión desde la infraestructura del atacante |
| 15 de octubre | Empieza la actividad maliciosa; un administrador recibe una alerta de que una aplicación de SkyKick se asignó el rol de administrador de Exchange |
| 17 de octubre | ConnectWise desactiva siete identidades de aplicación y suspende Cloud Backup |
| 18 de octubre | Los respaldos programados no corren; SaaS Security y Cloud Management también se apagan por precaución |
Los detalles técnicos están en el reporte de BleepingComputer y en la cobertura de Cybersecurity Dive, que recogen los análisis de Huntress, Todyl y Microsoft.
Por qué la verificación en dos pasos no sirvió aquí
Cuando conectas una herramienta externa a Microsoft 365 (un respaldo, un CRM, un firmador de documentos, un asistente de IA), le das una identidad propia dentro de tu cuenta, con permisos que no dependen de ningún usuario. Esa aplicación entra con un secreto o un certificado, no con usuario y contraseña. Si ese secreto se filtra en el proveedor, el atacante entra como la aplicación, y la verificación en dos pasos nunca se activa porque nadie inició sesión.
Hay otro detalle que pocos conocen: según Todyl, desactivar la aplicación impide que se emitan tokens nuevos, pero los tokens ya emitidos siguen sirviendo hasta que caducan. Y cerrar las sesiones de los usuarios no corta el acceso de una aplicación. Por eso, en un incidente así, la revisión tiene que ir más allá de "ya la desactivamos".
Las herramientas de respaldo son especialmente delicadas porque, por diseño, necesitan leerlo todo: cada buzón, cada archivo, cada chat. Muchas empresas las autorizaron hace años con permisos amplios, como Directory.ReadWrite.All, y nunca volvieron a mirarlas.
Cómo revisar las apps conectadas a tu Microsoft 365
- Haz el inventario. En el centro de administración de Microsoft Entra, entra a Aplicaciones empresariales y lista todas las aplicaciones con consentimiento de administrador. Anota quién la instaló y para qué.
- Si usabas ConnectWise o SkyKick, desactiva sus aplicaciones y revisa los inicios de sesión de entidades de servicio desde el 13 de octubre, buscando direcciones IP que no conoces.
- Revisa credenciales nuevas. En Registros de aplicaciones, busca secretos o certificados agregados desde el 13 de octubre que nadie de tu equipo creó, y elimínalos.
- Revisa roles. Comprueba que ninguna aplicación tenga roles de administrador de Exchange o administrador global que no necesita.
- Reduce permisos. Para cada aplicación que se queda, pregunta al proveedor cuáles son los permisos mínimos y retira el resto.
- Activa alertas. Si tu licencia lo permite, configura avisos cuando una aplicación agregue credenciales o se asigne un rol.
El ángulo de Zero Azul: cada integración es una llave que alguien más guarda
Este mes ya vimos el mismo patrón en otro lugar: en Shopify, tres apps fueron alteradas para mostrar un checkout falso sin que nadie entrara a las tiendas. Con ConnectWise pasó en Microsoft 365. El problema de fondo no es una marca: es que cada integración con permisos amplios es una llave de tu empresa guardada en el servidor de otra.
Cuando construimos integraciones para clientes (con n8n, con APIs propias o conectando un CRM a Microsoft 365 o Google Workspace), aplicamos cuatro reglas que recomendamos exigir a cualquier proveedor:
| Regla | Qué significa en la práctica |
|---|---|
| Permisos mínimos | Si la integración solo envía correos, no recibe permiso para leer todos los buzones |
| Una identidad por integración | Nada de una "app maestra" que sirve para todo; si una se compromete, se apaga sin tumbar el resto |
| Secretos con fecha de vencimiento | Rotación programada y registro de quién los creó |
| Inventario vivo | Una lista de integraciones con dueño, propósito y fecha de última revisión |
La lección para el respaldo también es clara: un respaldo en la nube de un tercero es una copia más, no la única. Lo vimos en el caso de ransomware en IDCF Cloud, y aquí se repite desde otro ángulo: si el servicio se apaga una semana, tus correos y archivos siguen existiendo, pero sin respaldos nuevos durante ese tiempo.
Qué hacer esta semana
- Pregunta a tu proveedor de TI si usa ConnectWise Cloud Backup o Cloud Management en tu cuenta.
- Haz el inventario de aplicaciones en Entra y elimina las que nadie reconoce.
- Revisa credenciales y roles de aplicaciones agregados desde el 13 de octubre.
- Si tu respaldo de Microsoft 365 era ConnectWise, define una alternativa temporal mientras el servicio vuelve.
Si prefieres que lo revise un equipo, en Zero Azul ofrecemos servicios de ciberseguridad con auditoría de aplicaciones y permisos, y diseñamos integraciones API empresariales con permisos mínimos desde el primer día. Si además administras servidores propios, revisa nuestro servicio de infraestructura en la nube.
Preguntas frecuentes
¿Qué pasó con ConnectWise Cloud Backup en octubre de 2026?
El 17 de octubre de 2026 ConnectWise suspendió Cloud Backup, antes SkyKick, porque un atacante usó las credenciales de sus aplicaciones para entrar a cuentas de Microsoft 365 de clientes. Huntress confirmó al menos 162 organizaciones afectadas y Microsoft lo calificó como un ataque a la cadena de suministro.
¿Cómo sé si mi Microsoft 365 fue afectado por el ataque a ConnectWise?
Revisa en Microsoft Entra si tienes aplicaciones de ConnectWise o SkyKick, sus inicios de sesión desde el 13 de octubre y si alguna se asignó roles de administrador o agregó credenciales. Si encuentras cambios que nadie hizo, trátalo como incidente y revisa el resto de aplicaciones.
¿Por qué la verificación en dos pasos no protegió a las empresas?
Porque el atacante no inició sesión como un usuario, sino como la aplicación de respaldo, usando su secreto. Las aplicaciones conectadas tienen permisos propios y no pasan por la verificación en dos pasos de las personas.
¿Cómo reviso qué aplicaciones tienen acceso a mi Microsoft 365?
En el centro de administración de Microsoft Entra, en Aplicaciones empresariales, puedes ver cada aplicación, los permisos que tiene y quién los aprobó. Elimina las que no reconoces y reduce los permisos de las que se quedan.
¿Mis respaldos guardados en ConnectWise están en riesgo?
ConnectWise afirma que los archivos de respaldo almacenados siguen cifrados y aislados, sin señales de compromiso, y que estarán disponibles cuando el servicio vuelva. Mientras tanto no se hacen respaldos nuevos, así que conviene tener una copia alternativa.