ConnectWise ha suspendido su servicio Cloud Backup y ha deshabilitado siete identidades de aplicaciones después de que atacantes utilizaran credenciales robadas para obtener acceso no autorizado a cuentas de Microsoft 365 de clientes, lo que paralizó las copias de seguridad y las restauraciones mientras la empresa investiga lo ocurrido.
ConnectWise afirmó que detectó el acceso no autorizado el 14 de octubre y deshabilitó las identidades el 17 de octubre. Entre los servicios afectados se encuentran Cloud Backup y varias conexiones de Cloud Management para aplicaciones de Microsoft. De acuerdo con la empresa de seguridad Huntress, las credenciales de inicio de sesión comprometidas pertenecían a la aplicación de copias de seguridad.
Esto permitió a los atacantes autenticarse utilizando una identidad en la que los sistemas de los clientes ya confiaban, en lugar de vulnerar cada cuenta por separado. Huntress también descubrió que, en la cuenta de un socio, una aplicación independiente de ConnectWise Teams se asignó a sí misma privilegios de Global Administrator y añadió credenciales a otras aplicaciones. Según una actualización de ConnectWise del 19 de octubre, Cloud Backup, SaaS Security y Cloud Management continuaban suspendidos.
Esta interrupción dejó fuera de servicio las copias de seguridad programadas, el acceso a los archivos y las restauraciones de datos. ConnectWise señaló que los archivos de copias de seguridad existentes continúan cifrados y preservados, sin indicios de que los atacantes hayan accedido a ellos. La compañía aún no ha confirmado cuándo se restablecerán los servicios suspendidos.
ConnectWise informó que no ha registrado actividad de amenazas exitosa en los entornos que supervisa tras haber implementado medidas de protección. Al mismo tiempo, la empresa instó a sus socios a revisar tanto sus propias cuentas de Microsoft 365 como las de sus clientes, y a mantener deshabilitadas las aplicaciones afectadas hasta recibir nuevas instrucciones.