Por Canuto  

ConnectWise suspendió Cloud Backup y servicios relacionados tras detectar acceso no autorizado a identidades de aplicaciones. Huntress afirma que una credencial vinculada a Microsoft 365 se utilizó para acceder a entornos de clientes y reportó inicios de sesión no autorizados en 173 tenants. La compañía pidió revisar las aplicaciones y credenciales de los entornos administrados.
***

  • La interrupción alcanza Cloud Backup y servicios relacionados, y bloquea temporalmente la creación de copias y las restauraciones mediante las herramientas afectadas.
  • Huntress reportó uso no autorizado de una credencial de Microsoft 365; ConnectWise dijo que deshabilitó siete identidades de aplicaciones.
  • ConnectWise afirma que los archivos existentes siguen cifrados y aislados, mientras Huntress recomienda revisar las credenciales de las aplicaciones en los tenants.

ConnectWise suspende servicios en la nube mientras investiga un incidente de seguridad

Una interrupción preventiva que afecta a varias herramientas

ConnectWise suspendió Cloud Backup y servicios relacionados, incluidos SaaS Security y Cloud Management, después de detectar acceso no autorizado a identidades de aplicaciones dentro de su entorno. La alerta surgió el 15 de octubre y la empresa la comunicó públicamente al día siguiente, al explicar que interrumpía las operaciones mientras investigaba el incidente y trabajaba en su remediación. La medida afecta a socios y clientes que utilizan las herramientas, aunque no confirma por sí sola que sus propios sistemas hayan sido vulnerados.

Cloud Backup, antes conocido como SkyKick, permite respaldar datos alojados en equipos locales, servicios en la nube y plataformas SaaS, entre ellas Microsoft 365 y Google Workspace. La interrupción impide temporalmente que los usuarios finales creen copias de seguridad o restauren información mediante el servicio. La suspensión también alcanza herramientas de seguridad y gestión integradas con Cloud Backup, según la información difundida sobre el incidente.

ConnectWise describió la pausa como una medida de precaución mientras determina si puede operar sus servicios de manera segura. La compañía informó que el 17 de octubre a las 07:00 UTC deshabilitó siete identidades de aplicaciones, según The Hacker News. Suspender una plataforma no equivale a confirmar que todos sus clientes sufrieron una intrusión, pero tampoco permite descartar impactos en los entornos conectados. ConnectWise pidió a los clientes que revisen los sistemas de Microsoft 365 que administran mientras avanza la investigación.

Al 18 de octubre a las 16:00 UTC, los servicios seguían sin estar disponibles, de acuerdo con la información publicada sobre el incidente. Jason Ferguson, vicepresidente de operaciones de seguridad de ConnectWise, escribió en Reddit que los archivos existentes permanecían cifrados, aislados y preservados, y que la empresa no tenía evidencia de acceso no autorizado a esos archivos. También indicó que sus equipos continuaban con análisis forenses, búsqueda de amenazas y tareas de remediación.

La alerta de Huntress apunta a credenciales de Microsoft 365

La firma de seguridad Huntress planteó un alcance potencial más concreto que el descrito inicialmente por ConnectWise. Según su análisis, se comprometió un secreto de API asociado a una credencial de Microsoft 365 de ConnectWise Cloud Backup y esa credencial se habría utilizado para acceder sin autorización a entornos M365 de clientes. The Hacker News, al resumir los hallazgos de Huntress, informó de inicios de sesión no autorizados en 173 tenants. La cifra y el alcance corresponden a esos reportes y no deben confundirse con una confirmación pública de ConnectWise sobre el impacto total del incidente.

Huntress también describió actividad en el tenant de uno de sus socios: una segunda aplicación de ConnectWise, ConnectWise Cloud Management – MS Teams, recibió permisos de Administrador Global. La aplicación tenía el identificador 24205314-2b89-4e07-a2a4-579e898a5640, según la firma. Después, esa aplicación añadió credenciales nuevas a otras dos aplicaciones del entorno, incluida una aplicación de Huntress de un solo inquilino, creada específicamente para ese socio.

Ese detalle plantea una complicación práctica para los administradores: desactivar las aplicaciones involucradas no necesariamente elimina las credenciales que ya se agregaron a otras aplicaciones. Huntress advirtió que los equipos deben revisar las credenciales de todas sus aplicaciones de Microsoft 365, en lugar de limitarse a deshabilitar los componentes asociados a ConnectWise. La recomendación se refiere a una revisión de los permisos y credenciales existentes en cada tenant afectado o administrado.

ConnectWise publicó algunos indicadores de compromiso que, según la empresa, se vinculan con un pequeño grupo de direcciones IP e integraciones de aplicaciones de terceros. También deshabilitó algunas conexiones entre Cloud Backup y Exchange, Teams, SharePoint Online y productos propios. La compañía no ofreció detalles amplios sobre el método de acceso ni identificó a un posible responsable, y dijo que por ahora no podía atribuir el incidente a un actor de amenazas.

Los MSP quedan en medio de la respuesta

El incidente afecta a un modelo de servicios en el que los proveedores de servicios gestionados, conocidos como MSP, administran sistemas y herramientas para otras organizaciones. ConnectWise vende software que estos proveedores utilizan para operar esos entornos, mientras que la relación cotidiana con los usuarios finales suele recaer en el MSP. Por eso, la empresa tecnológica no necesariamente conoce la configuración específica de cada cliente ni puede contactar directamente a todas las organizaciones potencialmente afectadas.

La cadena de comunicación puede dejar a algunas empresas con poca visibilidad sobre las herramientas que sostienen sus servicios de tecnología. El texto de The Register señala que los MSP no tienen la obligación de revelar qué plataformas utilizan y que ciertos clientes reciben servicios empaquetados sin conocer cada componente subyacente. En este caso, esa distancia puede dificultar que una organización entienda si utiliza ConnectWise o quién debe revisar sus aplicaciones de Microsoft 365.

ConnectWise trasladó a sus clientes la tarea de examinar los entornos M365 que administran, pero la capacidad de actuar dependerá de que los MSP identifiquen los tenants bajo su responsabilidad y comuniquen las medidas necesarias. La situación también explica por qué una interrupción en un proveedor puede tener consecuencias que se extienden más allá de su propia infraestructura: sus herramientas se conectan con sistemas y cuentas de terceros. Sin embargo, la información disponible no establece que todos los socios o clientes hayan sufrido accesos no autorizados.

Los proveedores de tecnología que dan servicio a MSP son objetivos atractivos para atacantes porque una intrusión podría abrir una ruta hacia múltiples socios y usuarios finales. La noticia recuerda como antecedente el ataque a Kaseya de 2021, descrito como el ejemplo más notorio de ese tipo de riesgo. ConnectWise no afirmó que el incidente actual tenga el mismo alcance o características; la comparación subraya la preocupación por el efecto en cadena que puede producir una brecha en una plataforma compartida.

Qué se sabe y qué queda por aclarar

Por ahora, ConnectWise no ha atribuido el incidente a un grupo ni ha detallado públicamente todos los sistemas afectados. La empresa dice que centra sus esfuerzos en la investigación, la remediación y el apoyo a los socios y clientes; Huntress, por su parte, informó de acceso no autorizado a entornos M365 y de cambios en credenciales de aplicaciones en el tenant que examinó. Mantener separadas ambas declaraciones ayuda a distinguir lo que la empresa confirmó de lo que reportó la firma de seguridad.

También conviene separar la disponibilidad de los servicios del estado de los datos almacenados. La interrupción impide, mientras continúe, realizar nuevas copias o restaurar archivos mediante las herramientas afectadas; ConnectWise sostiene que los archivos existentes siguen cifrados, aislados y preservados, sin evidencia de acceso no autorizado a ellos. Esa declaración no resuelve por sí sola las dudas sobre las aplicaciones de Microsoft 365 que Huntress señaló como utilizadas para acceder a entornos de clientes.

La investigación deberá aclarar qué identidades de aplicaciones quedaron expuestas, cuántos tenants tuvieron actividad sospechosa y qué acciones de remediación resultan necesarias. La información difundida hasta el 18 de octubre no ofrece una cifra confirmada por ConnectWise de clientes afectados ni confirma una pérdida o filtración de datos, de modo que no corresponde asumir un impacto generalizado. La compañía comunicó la suspensión de las herramientas como medida preventiva y pidió a los clientes revisar sus entornos administrados.

Para los MSP y sus clientes, el episodio pone de relieve que las integraciones y credenciales de aplicaciones pueden seguir requiriendo atención incluso después de deshabilitar un servicio. La advertencia de Huntress sobre credenciales añadidas a otras aplicaciones convierte la revisión del tenant en una tarea más amplia que apagar una conexión concreta. El próximo paso dependerá de los resultados forenses y de las actualizaciones que ConnectWise y sus socios entreguen sobre el alcance y la recuperación de los servicios.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.
Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados