---
title: ConnectWise suspende el servicio de copia de seguridad en la nube tras un ataque a inquilinos de Microsoft 365
url: https://www.dataloco.com/es/connectwise-suspende-el-servicio-de-copia-de-seguridad-en-la-nube-tras-un-ataque-a-inquilinos-de-microsoft-365
published: 2026-10-21T08:32:40+00:00
language: es
section: Seguridad
source: https://thehackernews.com/2026/10/connectwise-suspends-cloud-backup-after.html
organizations: ConnectWise, Microsoft, Huntress, SkyKick, Microsoft 365, Microsoft Entra ID
publisher: Dataloco
---

# ConnectWise suspende el servicio de copia de seguridad en la nube tras un ataque a inquilinos de Microsoft 365

ConnectWise anunció el sábado que ha desactivado siete identidades de aplicaciones de ConnectWise mientras continúa su investigación sobre un incidente en el que actores de amenaza desconocidos obtuvieron acceso no autorizado a las identidades de las aplicaciones y comprometieron inquilinos de Microsoft 365. La empresa de software de gestión de TI tomó esta acción el 17 de octubre de 2026 a las 07:00 UTC, añadiendo que también ha suspendido el servicio de Copia de Seguridad en la Nube al revocar los certificados utilizados para las conexiones de aplicaciones afectadas en todos los usuarios. Las identidades afectadas ya no son válidas, aunque los tokens de acceso emitidos previamente pueden seguir siendo utilizables hasta que caduquen o sean invalidados de otra manera. ConnectWise enfatizó que las copias de seguridad programadas no están funcionando y que el acceso a los archivos de copia de seguridad afectados y las capacidades de restauración sigue siendo inaccesible. Sin embargo, las copias de seguridad existentes siguen estando cifradas, aisladas y preservadas, y no hay evidencia de que hayan sido violadas o accesadas por los atacantes. Por precaución, la empresa ha tomado temporalmente fuera de línea los servicios de Seguridad SaaS y Gestión en la Nube mientras completa su revisión del incidente. ConnectWise identificó el problema el 14 de octubre de 2026 a través de su "monitoreo y diligencia avanzada de ciberseguridad", lo que llevó a la activación de acciones de investigación y respuesta de incidentes internas y externas.

Desde la implementación de estas mitigaciones, no se ha observado actividad de amenaza exitosa en los entornos que monitorean, aunque esto no establece el estado de los entornos de clientes downstream, que, por diseño, no pueden ser observados directamente. En este momento, no está claro si una vulnerabilidad del producto contribuyó al compromiso de las identidades de la aplicación. El mecanismo exacto de exposición de credenciales es objeto de un análisis en curso. El ataque es particularmente peligroso porque permite a un atacante abusar de las credenciales de la aplicación para acceder a los entornos Microsoft 365 de los clientes sin tener que robar la contraseña de cada cliente individualmente. Al usar la credencial de la aplicación robada para autenticarse como esa aplicación, el atacante puede solicitar tokens de acceso de Microsoft Entra ID basados en los permisos existentes de la aplicación. Dependiendo de los permisos asignados a la aplicación, esto podría permitir al atacante acceder potencialmente a otros servicios de Microsoft, incluidos buzones de correo, documentos de SharePoint, mensajes de Teams y información del directorio. Con las aplicaciones de ConnectWise operando con extensos permisos para realizar tareas de copia de seguridad y gestión, el robo de la credencial permite al actor de amenaza autenticarse como la aplicación misma y expandir su acceso añadiéndola al rol de Administrador Global, añadiendo secretos de cliente a otras aplicaciones de confianza en el inquilino y creando nuevas aplicaciones y concediéndoles permisos.

De esta manera, los secretos de cliente ofrecen una forma de autenticarse como esa aplicación y establecer persistencia, proporcionando un medio alternativo para recuperar el acceso al entorno comprometido incluso si la credencial comprometida originalmente se revoca más tarde. Huntress, un proveedor de servicios de seguridad gestionada, informó que observó por última vez accesos malintencionados desde la dirección original el 15 de octubre a las 08:45 UTC, con actividad manual dirigida continuando hasta aproximadamente las 14:20 UTC ese día. Huntress ha identificado casi 1,000 inquilinos de Entra con actividad de inicio de sesión desde la dirección IP asociada con la actividad no autorizada, de los cuales 300 tuvieron éxito. A pesar de los inicios de sesión exitosos, la ausencia de un principal de servicio en algunos inquilinos ha impedido que el actor de amenaza gane acceso a esos inquilinos.

## This story in other languages

- [עברית](https://www.dataloco.com/he/connectwise-microsoft-365)
- [العربية](https://www.dataloco.com/ar/aykaf-khdmat-alnskh-alahtyaty-alshaby-baad-akhtrak-hoyat-alttbykat)
- [Français](https://www.dataloco.com/fr/connectwise-suspend-les-sauvegardes-cloud-apres-une-compromission-de-locataires-microsoft-365)
- [Polski](https://www.dataloco.com/pl/connectwise-wylacza-uslugi-po-naruszeniu-bezpieczenstwa)
- [中文](https://www.dataloco.com/zh/connectwise-microsoft-365)
- [Deutsch](https://www.dataloco.com/de/connectwise-deaktiviert-cloud-backup-nach-angriff-auf-microsoft-365-mandanten)