Uma campanha de cibersegurança em andamento tem chamado a atenção após hackers utilizarem credenciais comprometidas do ConnectWise Cloud Backup para acessar 173 ambientes Microsoft 365 (M365) de clientes. O ConnectWise Cloud Backup, anteriormente conhecido como SkyKick, é um serviço de backup e recuperação em nuvem projetado para provedores de serviços gerenciados (MSPs), permitindo que eles protejam dados de clientes no Microsoft 365 e Google Workspace.
Pesquisadores da Huntress relataram que a credencial comprometida foi usada para obter tokens do Microsoft Graph em ambientes de clientes, com a atividade detectada em 15 de outubro de 2026, entre 06:13 e 08:34 UTC. O ataque foi realizado de forma automatizada, com os hackers se movendo entre os ambientes em uma ordem específica, indicando o uso de um script que operava a partir de uma lista de alvos.
O acesso concedido ao ConnectWise Cloud Backup é amplo, permitindo que um atacante, ao obter os tokens, consiga ler e manipular dados de e-mails, arquivos e informações de diretórios em todos os locatários onde o aplicativo está instalado. Jonathan Semon, pesquisador de segurança, destacou que a credencial do aplicativo está agora nas mãos de agentes hostis, o que representa um risco significativo para as organizações afetadas.
Além disso, a Huntress identificou que, em pelo menos um dos locatários parceiros, o aplicativo ConnectWise conseguiu atribuir a si mesmo privilégios de Administrador Global, o que possibilitou a adição de credenciais a outros aplicativos confiáveis dentro do ambiente. Isso amplia o risco, pois os aplicativos de gerenciamento de MSP frequentemente têm acesso a múltiplos locatários de clientes.
A Todyl também confirmou a autenticação não autorizada ao Microsoft Graph como o aplicativo ConnectWise Cloud Backup, ressaltando que o acesso herdou as permissões existentes do aplicativo, permitindo leitura e gravação de e-mails, arquivos no OneDrive e SharePoint, além de chats do Teams. Nicholas Koken, chefe de Engenharia de Detecção da Todyl, alertou que revogar sessões de usuário não elimina esse acesso, uma vez que tokens já emitidos permanecem válidos por até 90 minutos.
Em resposta ao incidente, a ConnectWise decidiu suspender o acesso ao aplicativo Cloud Backup até novo aviso, embora tenha afirmado não haver evidências de que os dados de backup dos parceiros tenham sido comprometidos. A empresa também está trabalhando na rotação das credenciais para mitigar os riscos associados a essa violação.
O incidente levanta preocupações sobre a segurança de aplicativos de terceiros e a necessidade de monitoramento contínuo das credenciais utilizadas em ambientes de nuvem. As organizações que utilizam o ConnectWise Cloud Backup devem estar atentas e considerar a desativação do aplicativo até que a situação seja completamente resolvida.
O próximo passo esperado é a implementação de medidas de segurança adicionais pela ConnectWise para proteger seus clientes e restaurar a confiança em seus serviços, além de um alerta mais amplo sobre a segurança de credenciais em aplicativos de backup e recuperação.
Siga a HACKBR e receba as notícias de cibersegurança e tecnologia no seu feed: Instagram @hackbrnews