ConnectWise Cloud Backup (antes SkyKick): una credencial robada abrió entornos de Microsoft 365 — qué revisar ya

Si tu empresa usa Microsoft 365 y un proveedor de TI (un MSP) hace la copia de seguridad del correo, OneDrive, SharePoint y Teams, conviene dedicar hoy cinco minutos a comprobar una cosa: si ConnectWise Cloud Backup, el antiguo SkyKick, está instalado en tu entorno. Entre el 13 y el 16 de octubre de 2026, terceros usaron credenciales de las aplicaciones de ese servicio para entrar en entornos de Microsoft 365 de clientes, sin necesitar contraseñas de usuario ni MFA.

ConnectWise suspendió el servicio, desactivó siete identidades de aplicación y asegura que los archivos de copia de seguridad guardados siguen aislados y sin señales de acceso. Pero la propia empresa advierte que desactivar las conexiones no deshace lo que ya se haya podido cambiar dentro de cada entorno. Esto es lo que se sabe, a quién afecta y qué revisar.

Qué pasó

Los MSP usan Cloud Backup para hacer copias y restaurar datos de clientes en Microsoft 365 y Google Workspace. Para funcionar sin nadie conectado, el servicio se conecta mediante una aplicación registrada en Microsoft Entra ID (antes Azure AD), que el administrador aprueba una vez con permisos amplios: leer y escribir buzones, archivos y chats.

Según Huntress, empresa de seguridad que trabaja con MSP, la credencial de esa aplicación cayó en malas manos. El 15 de octubre, entre las 06:13 y las 08:34 UTC (de 15:13 a 17:34 en Japón), la aplicación inició sesión en entornos de clientes desde una dirección de un proveedor de hosting, y no desde la red de Microsoft de donde suele venir el tráfico legítimo. El patrón —un entorno tras otro, con pocos segundos de diferencia— apunta a un script que recorría una lista. A las 19:00 UTC del 16 de octubre, Huntress había confirmado inicios de sesión no autorizados en 162 entornos.

Huntress también informa que:

• en unos 50 entornos que supervisa, aplicaciones de ConnectWise Cloud Management (Exchange Online, Teams y Graph) se asignaron a sí mismas roles de directorio, sobre todo Exchange Administrator;
• en un entorno, la aplicación Cloud Management para Teams se convirtió en Administrador global y, en unos cinco minutos, añadió nuevos secretos a otras dos aplicaciones (una herramienta de gestión del MSP y la propia aplicación de Huntress), creando una puerta trasera válida hasta 2028;
• los días 13 y 14, la misma dirección intentó adivinar contraseñas en entornos de cuatro despachos de abogados, sin éxito confirmado.

Microsoft confirmó actividad maliciosa relacionada con el servicio y, según BleepingComputer, lo calificó como un ataque activo a la cadena de suministro. Todyl, que analizó nueve entornos, solo encontró inicios de sesión, sin creación de cuentas ni persistencia, lo que muestra que el impacto varía de un cliente a otro.

Qué ha hecho ConnectWise

Según el aviso oficial del Trust Center (publicado el 16 de octubre y actualizado el 18 de octubre a las 01:00 UTC):

• a las 07:00 UTC del 17 de octubre desactivó siete identidades de aplicación (lista abajo) y revocó los certificados de esas conexiones; las credenciales compartidas de Cloud Backup ya no son válidas;
• Cloud Backup está suspendido: las copias programadas no se ejecutan y por ahora no se puede restaurar;
• SaaS Security y Cloud Management también se desconectaron por precaución;
• los archivos de copia existentes siguen cifrados, aislados y preservados, y la empresa dice no tener pruebas de que se haya accedido a ellos;
• contrató a una firma forense externa y todavía no hay fecha de restablecimiento.

Dos advertencias importantes de la propia ConnectWise: los tokens de acceso emitidos antes pueden seguir siendo válidos hasta que caduquen, y cualquier credencial, permiso o acceso creado mediante otras identidades debe revisarlo y eliminarlo el cliente. ConnectWise no ve lo que pasó dentro de cada entorno; esa revisión te toca a ti (o a tu MSP).

Todavía no se sabe cómo se obtuvo la credencial, cuántas organizaciones se vieron afectadas en total ni si hubo robo de datos a gran escala.

Por qué importa a las pymes en Japón

Muchas empresas pequeñas en Japón subcontratan la TI y ni siquiera saben qué herramienta de copia instaló su proveedor. Ese es el punto débil que aprovecha este tipo de ataque: un solo proveedor con acceso amplio a cientos de clientes se convierte en un atajo hacia todos ellos. Como el inicio de sesión lo hace la aplicación y no un usuario, el MFA de los empleados no protege, y las lecturas masivas de correo parecen normales en un servicio de copias.

Ya vimos el mismo patrón de "el problema estaba en el proveedor" en el caso de Big Echo. Y hay un efecto práctico inmediato: si tu copia de Microsoft 365 era SkyKick, hoy no tienes copia. Repasa la regla 3-2-1 y valora una copia temporal por otra vía hasta que vuelva el servicio.

Aplicaciones desactivadas por ConnectWise

Busca en Entra por ID de aplicación, no por el nombre: las instalaciones antiguas pueden aparecer como "SkyKick".

El indicador publicado por ConnectWise y Huntress es la dirección 144.172.64[.]128 (escrita con corchetes para que no se convierta en enlace). ConnectWise recuerda que encontrar esa dirección, o herramientas como Python y curl, en los registros exige investigar, pero no demuestra por sí solo una intrusión.

Qué revisar ahora

• Pregunta a tu MSP si usa ConnectWise Cloud Backup, SkyKick o Cloud Management en tus entornos, incluidas conexiones antiguas que ya nadie usa.
• En Microsoft Entra, en Aplicaciones empresariales, busca los ID de la tabla. Si alguna sigue activa, desactiva el inicio de sesión de la aplicación (no la borres: conserva la configuración como prueba).
• Exporta ya los registros de auditoría y de inicio de sesión (incluidos los de entidades de servicio). En el plan gratuito, Entra guarda solo unos 7 días; en P1/P2, unos 30.
• Revisa los inicios de sesión desde el 13 de octubre (desde el 1 de octubre si es posible), filtrando por los ID de las aplicaciones y la dirección indicada.
• Comprueba los secretos y certificados de todas las aplicaciones, no solo de las siete: los secretos añadidos desde el 13 de octubre sin dueño conocido son la principal señal de persistencia.
• Revisa quién tiene roles privilegiados (Administrador global, Exchange Administrator, Application Administrator) y si hay aplicaciones nuevas o consentimientos recientes que nadie aprobó.
• Busca reglas de reenvío y reglas de bandeja de entrada sospechosas, además de cambios en el Acceso condicional.
• No reactives las aplicaciones hasta que ConnectWise publique instrucciones de reconexión.
• Planifica una copia alternativa mientras el servicio esté parado.

Si no tienes claro cómo hacer estas revisiones, nuestra guía de configuración de Microsoft 365 para pequeñas empresas muestra dónde están estas opciones, y es un buen momento para revisar la política de contraseñas y autenticación en dos pasos.

Lo que aún no se sabe

ConnectWise sigue en fase de investigación y dice que actualizará el Trust Center aunque no haya cambios relevantes. Faltan tres respuestas: cómo se filtró la credencial, cuántas organizaciones se vieron afectadas y qué datos se copiaron realmente. Huntress dice no haber visto actividad maliciosa nueva desde el 15 de octubre, pero recuerda que los secretos instalados antes siguen funcionando hasta que se eliminan. Seguiremos el caso y actualizaremos este artículo si hay novedades importantes.

Fuentes

• ConnectWise Trust Center: Cloud Backup (formerly SkyKick) Service Interruption — advisory
• ConnectWise: Product and Services Status
• Huntress: ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks
• Todyl: Investigation — unauthorized access through the ConnectWise Cloud Backup Microsoft 365 app
• BleepingComputer: Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
• The Hacker News: ConnectWise suspends Cloud Backup after Microsoft 365 tenant compromise
• Coalition: ConnectWise Investigating Unauthorized Access to Cloud Backup App
• Microsoft Learn: Disable user sign-in for an application in Microsoft Entra ID
• Microsoft Learn: Incident response playbook — compromised and malicious applications

---

¿Quieres llevar esto a tu negocio?

KGA IT ayuda a pequeñas y medianas empresas a implementar asistentes de IA, automatizaciones y sitios web. La consulta es gratuita y respondemos en menos de 24 horas. Planes desde ¥5.000/mes.

• Teléfono: 080-9732-1062
• Correo: kga-it@outlook.com
• Página de contacto: kga-it.com/es/contact