ConnectWise Cloud Backup (ex-SkyKick): credencial roubada abriu acesso a ambientes Microsoft 365 — o que verificar agora

Se a sua empresa usa Microsoft 365 e o backup dos e-mails, do OneDrive, do SharePoint e do Teams é feito por um fornecedor de TI (um MSP), vale parar cinco minutos hoje para checar uma coisa: se o ConnectWise Cloud Backup, o antigo SkyKick, está instalado no seu ambiente. Entre 13 e 16 de outubro de 2026, credenciais das aplicações desse serviço foram usadas por terceiros para entrar em ambientes Microsoft 365 de clientes, sem precisar de senha de usuário nem de MFA.

A ConnectWise suspendeu o serviço, desligou sete identidades de aplicação e diz que os arquivos de backup guardados continuam isolados e sem sinais de acesso. Mas a própria empresa avisa que desligar as conexões não desfaz o que já pode ter sido alterado dentro de cada ambiente. Abaixo, o que se sabe, quem deve se preocupar e o que verificar.

O que aconteceu

O Cloud Backup é usado por MSPs para fazer backup e restauração de dados de clientes no Microsoft 365 e no Google Workspace. Para funcionar sem ninguém logado, o serviço se conecta por uma aplicação registrada no Microsoft Entra ID (o antigo Azure AD), aprovada uma vez pelo administrador com permissões amplas: ler e gravar caixas de correio, arquivos e conversas.

Segundo a Huntress, empresa de segurança que atende MSPs, a credencial dessa aplicação caiu em mãos erradas. Em 15 de outubro, entre 06:13 e 08:34 UTC (15:13 a 17:34 no horário do Japão), a aplicação fez login em ambientes de clientes a partir de um endereço de hospedagem, e não da rede da Microsoft de onde o tráfego legítimo costuma vir. O padrão — ambiente após ambiente, com poucos segundos de intervalo — indica um script trabalhando a partir de uma lista. Até as 19:00 UTC de 16 de outubro, a Huntress tinha confirmado logins não autorizados em 162 ambientes.

A Huntress também relata que:

• em cerca de 50 ambientes monitorados, aplicações do ConnectWise Cloud Management (Exchange Online, Teams e Graph) atribuíram a si mesmas funções de diretório, principalmente Exchange Administrator;
• em um ambiente, a aplicação Cloud Management para Teams se colocou como Administrador Global e, em cerca de cinco minutos, adicionou novos segredos a duas outras aplicações (uma ferramenta de gestão do MSP e a própria aplicação da Huntress), criando uma porta de volta com validade até 2028;
• nos dias 13 e 14, o mesmo endereço tentou adivinhar senhas em ambientes de quatro escritórios de advocacia, sem sucesso confirmado.

A Microsoft confirmou atividade maliciosa envolvendo o serviço e, de acordo com o BleepingComputer, classificou o caso como um ataque ativo à cadeia de suprimentos. Já a Todyl, que analisou nove ambientes, encontrou apenas logins, sem criação de contas ou persistência — o que mostra que o impacto varia de cliente para cliente.

O que a ConnectWise já fez

Pelo aviso oficial no Trust Center (publicado em 16 de outubro e atualizado em 18 de outubro, 01:00 UTC):

• às 07:00 UTC de 17 de outubro, desativou sete identidades de aplicação (lista abaixo) e revogou os certificados usados nas conexões; as credenciais compartilhadas do Cloud Backup não valem mais;
• o Cloud Backup está suspenso: backups agendados não estão rodando e não é possível restaurar dados por enquanto;
• SaaS Security e Cloud Management também foram tirados do ar por precaução;
• os arquivos de backup existentes seguem criptografados, isolados e preservados, e a empresa diz não ter evidência de acesso a eles;
• uma empresa de perícia externa foi contratada, e ainda não há previsão de retorno.

Dois avisos importantes da própria ConnectWise: tokens de acesso emitidos antes podem continuar válidos até expirarem, e qualquer credencial, permissão ou acesso criado por outras identidades precisa ser revisado e removido pelo cliente. A ConnectWise não enxerga o que aconteceu dentro de cada ambiente — essa verificação é sua (ou do seu MSP).

Ainda não se sabe como a credencial foi obtida, nem quantas organizações foram afetadas no total ou se houve roubo de dados em larga escala.

Por que isso importa para PMEs no Japão

Muitas empresas pequenas no Japão terceirizam a TI e nem sabem qual ferramenta de backup o fornecedor instalou. Esse é o ponto fraco desse tipo de ataque: um único fornecedor com acesso amplo a centenas de clientes vira um atalho para todos eles. Como o login é feito pela aplicação, e não por um usuário, o MFA dos funcionários não protege — e leituras em massa de e-mails parecem normais para um serviço de backup.

Já vimos o mesmo padrão de "o problema estava no fornecedor" no caso da Big Echo. E há um efeito prático imediato: se o seu backup do Microsoft 365 era o SkyKick, hoje você está sem backup. Vale revisar a regra 3-2-1 e avaliar uma cópia temporária por outro caminho até o serviço voltar.

Aplicações desativadas pela ConnectWise

Procure no Entra pelo ID da aplicação, não pelo nome — instalações antigas podem aparecer como "SkyKick".

O indicador publicado pela ConnectWise e pela Huntress é o endereço 144.172.64[.]128 (escrito com colchetes para não virar link). A ConnectWise lembra que encontrar esse endereço ou ferramentas como Python e curl nos logs exige investigação, mas não prova sozinho que houve invasão.

O que verificar agora

• Pergunte ao seu MSP se ele usa ConnectWise Cloud Backup, SkyKick ou Cloud Management nos seus ambientes — inclusive conexões antigas que ninguém usa mais.
• No Microsoft Entra, em Aplicativos empresariais, procure os IDs da tabela. Se algum ainda estiver ativo, desative o login da aplicação (não apague: preserve a configuração como evidência).
• Exporte agora os logs de auditoria e de entrada (inclusive de service principals). No plano gratuito, o Entra guarda só cerca de 7 dias; no P1/P2, cerca de 30.
• Revise os logins a partir de 13 de outubro (se possível, desde 1º de outubro) filtrando pelos IDs das aplicações e pelo endereço acima.
• Confira segredos e certificados de todas as aplicações, não só das sete: segredos adicionados desde 13 de outubro e sem dono conhecido são o principal sinal de persistência.
• Veja quem tem funções privilegiadas (Administrador Global, Exchange Administrator, Application Administrator) e se há aplicações novas ou consentimentos recentes que ninguém aprovou.
• Procure regras de encaminhamento e regras de caixa de entrada suspeitas, além de mudanças no Acesso Condicional.
• Não reative as aplicações até a ConnectWise publicar instruções de reconexão.
• Planeje um backup alternativo enquanto o serviço estiver parado.

Se você não tem certeza de como fazer essas verificações, o nosso guia de configuração do Microsoft 365 para pequenas empresas ajuda a entender onde ficam essas opções — e vale aproveitar para revisar a política de senhas e autenticação em dois fatores.

O que ainda não se sabe

A ConnectWise ainda está na fase de investigação e diz que vai atualizar o Trust Center mesmo quando não houver mudança relevante. Faltam três respostas: como a credencial vazou, quantas organizações foram afetadas e que dados foram realmente copiados. A Huntress diz não ter visto atividade maliciosa nova desde 15 de outubro, mas lembra que segredos plantados antes continuam funcionando até serem removidos. Vamos acompanhar e atualizar este artigo se houver novidades importantes.

Fontes

• ConnectWise Trust Center: Cloud Backup (formerly SkyKick) Service Interruption — advisory
• ConnectWise: Product and Services Status
• Huntress: ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks
• Todyl: Investigation — unauthorized access through the ConnectWise Cloud Backup Microsoft 365 app
• BleepingComputer: Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack
• The Hacker News: ConnectWise suspends Cloud Backup after Microsoft 365 tenant compromise
• Coalition: ConnectWise Investigating Unauthorized Access to Cloud Backup App
• Microsoft Learn: Disable user sign-in for an application in Microsoft Entra ID
• Microsoft Learn: Incident response playbook — compromised and malicious applications

---

Quer levar isso para o seu negócio?

A KGA IT ajuda pequenas e médias empresas a implantar assistentes de IA, automações e sites. A consulta é gratuita e respondemos em até 24 horas. Planos a partir de ¥5.000/mês.

• Telefone: 080-9732-1062
• E-mail: kga-it@outlook.com
• Página de contato: kga-it.com/pt/contact