Credencial do ConnectWise Cloud Backup expõe tenants do Microsoft 365

Um dos aplicativos que milhares de provedores de serviços gerenciados instalam nos ambientes Microsoft 365 dos clientes virou porta de entrada. Entre 15 e 19 de outubro de 2026, pesquisadores de várias empresas de segurança documentaram o uso de uma credencial roubada do ConnectWise Cloud Backup — produto de backup para Microsoft 365 antes conhecido como SkyKick — para pedir tokens de acesso em tenants de clientes, sem senha e sem autenticação multifator.

A Sophos X-Ops publicou em 19 de outubro a análise da sua própria telemetria: um ator não identificado autenticou-se como o aplicativo, a partir de um único servidor virtual, e varreu a lista de tenants que haviam consentido com o produto. A ConnectWise, por sua vez, informou ter identificado “acesso não autorizado a identidades de aplicativo” dentro do ambiente do Cloud Backup, desligou o acesso do aplicativo e mantém a investigação em andamento com apoio de uma empresa forense externa.

O caso importa porque não explora uma falha de software conhecida. Ele explora a arquitetura normal de consentimento do Microsoft Entra ID: quando uma empresa autoriza um aplicativo multi-tenant de terceiros, quem controla a identidade desse aplicativo herda as permissões concedidas — e tokens emitidos nessa condição não passam por senha, MFA ou políticas de acesso condicional ligadas a usuários.

Como funciona o consentimento que foi abusado

O Cloud Backup opera como um aplicativo multi-tenant registrado no Entra ID. Cada cliente concede consentimento no seu próprio tenant, o que permite que a identidade mantida pelo fornecedor solicite tokens do Microsoft Graph para ler os dados que serão copiados. Esse fluxo é chamado de autenticação app-only: o aplicativo age por conta própria, com as permissões de aplicativo que recebeu, sem usuário associado.

Como ferramentas de backup precisam de acesso amplo para cumprir sua função, o conjunto de permissões tende a ser generoso. Segundo a Microsoft, citada pelo The Hacker News, o ator provavelmente abusou de permissões já concedidas ao aplicativo pelos próprios clientes, entre elas Directory.ReadWrite.All. Na prática, permissões desse porte podem alcançar caixas de correio, arquivos no OneDrive e SharePoint, dados do Teams e informações de diretório.

Há dois agravantes operacionais. O primeiro: desabilitar o aplicativo interrompe a emissão de novos tokens, mas os já emitidos continuam válidos — a Todyl e a SpecterOps estimam até 90 minutos. O segundo: encerrar sessões de usuários não afeta esse acesso, porque não há sessão de usuário envolvida. “Revogar sessões de usuário não encerra esse acesso”, resumiu Nicholas Koken, da Todyl.

O que a Sophos observou

A atividade analisada pela Sophos X-Ops foi identificada em 15 de outubro de 2026 e durou cerca de 96 minutos, das 07h11 às 08h47 UTC, a partir de um único VPS. O comportamento registrado tem assinatura de automação:

• os tenants foram percorridos em ordem estritamente crescente de GUID;
• um token app-only do Graph foi solicitado por tenant, com intervalos de um a seis minutos;
• a lista incluiu tenants sem assinatura ativa do backup, o que indica uso de um cadastro completo de consentimentos passados e presentes;
• não houve atividade interativa de teclado.

Com alta confiança, a Sophos avalia que o ator executou um script para enumerar os tenants que tinham consentimento concedido. O que foi feito com os tokens depois de emitidos permanece desconhecido na telemetria analisada, e até a publicação a empresa não encontrou evidência de que o aplicativo tivesse criado novos segredos, registros de aplicativo, consentimentos ou atribuições de função nos tenants revisados.

Escala relatada por outras equipes

Os números variam conforme a fonte e a janela de observação, e vale registrar isso com clareza. A Huntress relatou em 17 de outubro ter confirmado logins não autorizados em 173 tenants de parceiros e clientes; em 19 de outubro, o balanço citado pelo Help Net Security falava em pelo menos 162 tenants com acesso confirmado sem autorização, além de quase mil contas que receberam tentativas de login a partir do endereço do atacante, com mais de 300 bem-sucedidas — sem que a empresa confirme um único operador por trás de tudo.

A janela temporal também difere entre telemetrias: a Huntress aponta uso da credencial em 15 de outubro, das 06h13 às 08h34 UTC, com tenants percorridos em ordem de GUID “a poucos segundos de distância”, enquanto a Sophos registrou intervalos de minutos. São pontos de observação distintos sobre a mesma campanha, não contradição resolvida.

Dois achados merecem atenção redobrada, ainda em apuração. Em um tenant de parceiro, segundo a Huntress, um aplicativo da ConnectWise se adicionou à função de Administrador Global e inseriu novos segredos em um aplicativo de gestão de MSP e no próprio aplicativo da Huntress, com validade até 2028. E cerca de 50 organizações viram aplicativos do ConnectWise Cloud Management se atribuírem funções administrativas, mais frequentemente a de Administrador do Exchange — a ConnectWise ainda não confirmou se isso foi automação própria ou ação do atacante. A Microsoft descreveu o episódio como um ataque à cadeia de suprimentos dirigido às credenciais OAuth do aplicativo.

ConnectWise Cloud Backup: resposta do fornecedor e o que falta saber

Pela cronologia reunida nas publicações, a ConnectWise identificou o problema em 15 de outubro e, em 17 de outubro, desabilitou sete identidades de aplicativo, revogou seus certificados e invalidou as credenciais compartilhadas do Cloud Backup. Em 19 de outubro, Cloud Backup, SaaS Security e Cloud Management seguiam suspensos: sem execução de backups, sem restauração de dados e sem previsão de retorno.

A empresa afirma que os backups armazenados permanecem criptografados e isolados, e que não há evidência de que tenham sido acessados. A causa raiz, porém, continua aberta — inclusive se uma falha de produto contribuiu para o roubo da credencial. Como a Sophos registra, o método pelo qual o ator obteve a credencial mantida pelo fornecedor não foi estabelecido.

Há ainda um limite de visibilidade que afeta qualquer avaliação de impacto: parte das leituras de diretório feitas via Graph não gera registro de auditoria. Isso significa que a ausência de evidência de leitura de e-mails ou arquivos em um tenant específico não equivale a prova de que nada foi lido.

Indicadores publicados

Os indicadores abaixo foram divulgados pelos próprios fornecedores e servem para busca retroativa. Endereços IP podem ser reatribuídos, portanto devem ser usados como pista, não como veredito.

Recomendações práticas

Para quem usa ou já usou o Cloud Backup ou o SkyKick, a orientação convergente das equipes que investigaram o caso é:

• Desabilitar os aplicativos afetados no Entra ID — sem excluí-los, para preservar registros — e mantê-los desligados até a ConnectWise confirmar a redefinição das credenciais;
• remover consentimentos dos aplicativos que a ConnectWise desativou e de qualquer integração que não esteja em uso;
• revisar logs de entrada do Entra entre 15 e 17 de outubro, procurando especificamente autenticações de service principal — a visão padrão do portal mostra logins de usuário e esconde justamente o que importa aqui;
• auditar credenciais acrescentadas a qualquer aplicativo desde 13 de outubro, além de novos registros, consentimentos e atribuições de função de diretório;
• habilitar os logs de atividade do Microsoft Graph, onde disponíveis, para entender como os tokens emitidos foram usados;
• mapear as permissões de terceiros no tenant, inclusive com ferramentas abertas como o AzureHound, porque desabilitar o aplicativo não desfaz mudanças já realizadas por meio de outras identidades.

Vale somar a esse roteiro uma revisão de configurações silenciosas de caixa de correio — regras de encaminhamento e delegações —, já que alterações desse tipo sobrevivem à desativação do aplicativo que as criou.

O que observar a seguir

O episódio reforça uma lição que o setor conhece e continua a repetir: a identidade de um aplicativo de terceiros com consentimento amplo é um caminho de ataque de altíssimo privilégio, equivalente a uma conta administrativa que não aparece na lista de usuários. Casos recentes de abuso de identidade em plataformas de colaboração e de exploração de ferramentas de gestão remota apontam na mesma direção.

Três pontos ainda não têm resposta pública: como a credencial do fornecedor foi obtida, o que foi feito com os tokens emitidos e se as atribuições de função observadas em cerca de 50 organizações foram ação do atacante ou automação legítima. Enquanto a ConnectWise não divulgar a análise forense, as equipes de segurança trabalham com hipóteses — e a recomendação de tratar os tenants afetados como potencialmente comprometidos permanece a postura mais defensável.

Fontes e referências

• Sophos X-Ops — ConnectWise Cloud Backup application abused in cross-tenant token sweep
• The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
• Help Net Security — ConnectWise suspends Cloud Backup service after attackers abuse its Microsoft 365 access
• SpecterOps — ConnectWise SkyKick Breach: How to Check Your Microsoft 365 Tenant
• Microsoft Learn — Get access without a user (fluxo app-only no Microsoft Graph)