Una credencial de ConnectWise abre 173 tenants de Microsoft 365

Los investigadores de seguridad han encendido las alarmas por una campaña activa en la que actores de amenaza, todavía sin identificar, están aprovechando una credencial de Microsoft 365 comprometida perteneciente a ConnectWise Cloud Backup (antes SkyKick) para acceder sin autorización a los entornos M365 de sus clientes. El dato que resume la gravedad: esa única credencial ha servido para iniciar sesión en 173 tenants de Microsoft 365.

Conviene entender qué es ConnectWise Cloud Backup: un servicio de copia de seguridad y recuperación en la nube pensado para proveedores de servicios gestionados (MSP). Es decir, no hablamos de una herramienta que una pyme instale en un portátil, sino de una pieza de infraestructura que muchos MSP usan para proteger y gestionar los datos de sus clientes. Cuando esa pieza se ve comprometida, el problema no se queda en un usuario: se multiplica por cada cliente conectado a ella.

Por qué una sola credencial puede valer por 173

El patrón es conocido en el ecosistema MSP: una cuenta con privilegios elevados sobre múltiples tenants se convierte en una llave maestra. Si esa llave se filtra, el atacante no necesita vulnerar cada empresa una por una; entra por la puerta grande y desde ahí se mueve. En este caso, la credencial comprometida pertenece a un servicio de backup, lo que añade un matiz incómodo: los sistemas de respaldo suelen tener visibilidad y permisos sobre grandes volúmenes de datos, y a menudo se configuran para funcionar de forma desatendida.

Para una pyme, la lectura inmediata es que su seguridad depende también de la de su proveedor. Si tu empresa trabaja con un MSP que gestiona tu Microsoft 365, tu exposición no termina en tu firewall. Y si eres tú quien presta servicios IT, este incidente es un recordatorio de que la cadena de confianza hay que revisarla con la misma seriedad que el perímetro propio.

Qué significa para un equipo de IT

Más allá del titular, hay varias lecciones operativas que merecen atención:

• Las cuentas de servicio son cuentas de riesgo. Una credencial usada por una herramienta de backup o integración no debería tener más permisos de los estrictamente necesarios, ni vivir eternamente sin rotación.
• El acceso multi-tenant exige visibilidad centralizada. Si gestionas varios clientes, necesitas saber quién entra, desde dónde y con qué rol. Sin registros unificados, un inicio de sesión anómalo pasa desapercibido.
• El backup no es solo recuperación, también es superficie de ataque. Proteger los datos implica proteger el sistema que los copia.
• La autenticación multifactor no basta si la credencial es de servicio. Hay que combinar MFA con políticas de acceso condicional y revisión de aplicaciones autorizadas.

Este tipo de incidentes encaja con una tendencia que ya hemos comentado en el blog: la seguridad se está desplazando hacia la cadena de suministro y las herramientas de terceros. Lo vimos al analizar cómo Anthropic abre su IA cibernética a equipos verificados, y vuelve a aparecer aquí: la confianza en un proveedor es un vector más.

Recomendaciones concretas para pymes y MSP

No hay que esperar a un comunicado oficial para actuar. Estas son las medidas que recomendamos desde ForgeNEX:

1. Inventaria las integraciones con Microsoft 365. Haz una lista de aplicaciones, cuentas de servicio y conectores que tienen acceso a tu tenant. Si no sabes cuántas hay, ese es el primer problema.
2. Revisa permisos y aplica mínimo privilegio. Elimina accesos heredados, reduce roles globales y separa las cuentas de administración de las de uso diario.
3. Rota credenciales y secretos. Establece una cadencia de rotación para claves de servicios y herramientas de terceros, y documenta quién las conoce.
4. Activa registros y alertas de inicio de sesión. Vigila accesos desde ubicaciones inusuales, cuentas de servicio que se conectan de forma interactiva y picos de actividad en el backup.
5. Pregunta a tu proveedor. Si un MSP gestiona tu M365, pídele confirmación de si usa ConnectWise Cloud Backup, qué medidas ha tomado y qué visibilidad tienes tú de los accesos.
6. Prueba la recuperación, no solo el backup. Un plan de continuidad solo vale si se ha ensayado. Aprovecha para revisar qué pasaría si el sistema de copia se viera comprometido.

El análisis de ForgeNEX

La noticia no detalla el método exacto por el que la credencial llegó a manos de los atacantes, ni el alcance completo de los datos afectados. Por eso conviene no sacar conclusiones que el informe no sostiene. Lo que sí está claro es el patrón: un único punto de confianza comprometido puede abrir decenas o cientos de organizaciones. Para una pyme, la conclusión práctica es que la seguridad ya no es solo lo que proteges dentro de casa, sino también lo que delegas fuera.

En ForgeNEX trabajamos con la idea de que la gestión de identidades y accesos es el nuevo perímetro. Revisar integraciones, limitar privilegios y monitorizar inicios de sesión no es un lujo de grandes empresas: es la diferencia entre enterarte de un incidente en horas o en semanas. Y en un escenario como el descrito, esas horas cuentan.

Si tu empresa depende de un proveedor para gestionar Microsoft 365, la pregunta no es solo si confías en él, sino si puedes verificar qué está pasando con tus accesos.

Fuente: The Hacker News. Análisis y adaptación: ForgeNEX.