Atacantes han usado la credencial robada de la app ConnectWise Cloud Backup (antes SkyKick) para entrar en cientos de tenants de Microsoft 365, también en España. Si tú o tu proveedor informático la habéis instalado alguna vez, aunque no la uséis, pide hoy que revisen Entra ID: la MFA y cambiar contraseñas no bastan.
Lo esencial
- La actividad maliciosa empezó como mínimo el 15 de octubre, desde una única IP: 144.172.64[.]128 (BleepingComputer).
- Huntress identificó al menos 162 tenants comprometidos en su entorno; su recuento posterior subió a 173 con inicios de sesión no autorizados confirmados (The Hacker News).
- En cerca de 50 tenants, las apps ConnectWise Cloud Management se asignaron a sí mismas roles de directorio, sobre todo Exchange Administrator. En uno, el atacante se hizo persistente en unos cinco minutos.
- ConnectWise deshabilitó siete identidades de aplicación el 17 de octubre a las 07:00 UTC y suspendió Cloud Backup. Las copias programadas no se ejecutan y no se puede restaurar (The Hacker News).
- El ID de la app legítima usada en los ataques es 506e08f9-6e9a-4da4-942b-a099a03644ae.
¿Me afecta si nunca he oído hablar de ConnectWise?
Puede que sí. Muchas pymes no gestionan su Microsoft 365: lo hace un MSP. Si tu proveedor instaló Cloud Backup o SkyKick en algún momento, la app sigue en tu tenant con los permisos que se le dieron, aunque lleve años sin usarse. En tenants antiguos, las apps de gestión pueden aparecer como «SkyKick Cloud Manager». La campaña afecta a organizaciones de varios países, entre ellos España.
¿Por qué no me ha protegido la MFA?
Porque nadie inició sesión como usuario. El atacante usó el secreto de la app y se autenticó como ella mediante un script. Así heredó lo que tu empresa ya le había concedido: leer y escribir correo y adjuntos, archivos de OneDrive y SharePoint, y chats de Teams. Microsoft Threat Intelligence lo califica de ataque activo a la cadena de suministro y cree que se abusó de permisos existentes como Directory.ReadWrite.All (BleepingComputer).
Hay tres matices importantes. Cerrar las conexiones impide nuevas autenticaciones, pero no deshace lo que el atacante cambió antes. Los tokens ya emitidos valen hasta que caducan. Y revocar sesiones de usuario no corta un acceso basado en aplicación.
¿Qué pasa con mis copias de seguridad?
Mientras dure la suspensión, tu copia de Microsoft 365 con este servicio no está funcionando. ConnectWise afirma que los archivos de copia siguen cifrados y aislados y que no hay evidencia de que los atacantes accedieran a ellos (The Hacker News). Todavía no se sabe cómo se expuso la credencial ni si una vulnerabilidad del producto contribuyó.
Qué hacer hoy
- Guarda los registros de Entra ID y Microsoft 365 antes de tocar nada.
- En Entra ID, ve a Aplicaciones empresariales y busca apps de ConnectWise o SkyKick, también las dormidas y el ID 506e08f9-6e9a-4da4-942b-a099a03644ae. Mantenlas deshabilitadas hasta nuevo aviso.
- Revisa los inicios de sesión de service principal desde el 13 de octubre. Busca la IP 144.172.64.128 o cualquier IP fuera de rangos de Microsoft/Azure.
- Revisa secretos y certificados añadidos a cualquier aplicación desde el 13 de octubre y elimina los que no reconozcas.
- Comprueba si alguna app se asignó un rol de administrador Global o de Exchange.
- Busca reglas de reenvío o de bandeja de entrada que nadie haya creado.
- Prepara una copia alternativa de Microsoft 365 mientras Cloud Backup siga parado.
- Si el tenant contiene datos personales, valora con tu DPO o asesor si hay una brecha según el RGPD. Si se confirma, tienes 72 horas para notificar a la AEPD.
Qué significa para una pyme
La lección incómoda es que la app con más poder en tu correo no era un empleado, sino una herramienta de copia que quizá nadie recordaba. No tenía MFA, no salía en las revisiones de contraseñas y tenía permisos para leer y escribir casi todo. Ese es el punto ciego que se ha explotado.
Te proponemos dos cosas. Primero, pide a tu MSP una lista de las aplicaciones con permisos en tu tenant y para qué sirve cada una. Lo que no tenga dueño ni uso, fuera. Lo que se quede, con los permisos mínimos. Segundo, no dejes la copia de seguridad y su seguridad en un único proveedor sin plan B: hoy, quien dependía solo de este servicio no puede ni copiar ni restaurar.
No hace falta un proyecto grande. Hace falta que alguien con acceso de administrador dedique hoy una o dos horas a los pasos de arriba. Si no tienes a esa persona, en ciberseguridad podemos ayudarte a revisarlo.
Preguntas frecuentes
¿Basta con cambiar contraseñas y activar la MFA?
No. El acceso se hizo con la identidad de la aplicación, no con usuarios. Tienes que revisar y deshabilitar la app, sus secretos y los roles que se haya asignado.
¿Han robado mis copias de seguridad?
ConnectWise dice que siguen cifradas y aisladas y que no hay evidencia de acceso. El riesgo confirmado está en el propio tenant: correo, OneDrive, SharePoint y Teams.
¿Tengo que avisar a la AEPD?
Solo si se confirma una brecha de datos personales, y entonces en 72 horas. Valóralo con tu DPO o asesor tras revisar los registros.
