ConnectWise suspende três serviços após ataque que compromete ambientes Microsoft 365

A ConnectWise anunciou a desativação de sete identidades de aplicações e a suspensão de três serviços em nuvem após identificar acessos não autorizados a ambientes Microsoft 365 de clientes. As medidas foram implementadas em 17 de outubro de 2026, às 07h UTC, enquanto a empresa investiga o comprometimento de credenciais utilizadas por suas soluções de backup e gerenciamento.

A companhia revogou certificados associados às conexões afetadas do ConnectWise Cloud Backup, anteriormente conhecido como SkyKick, impedindo novas autenticações. Os serviços SaaS Security e Cloud Management também foram temporariamente retirados de operação como medida preventiva.

Segundo a ConnectWise, a desativação das conexões impede novas autenticações, mas não desfaz alterações realizadas anteriormente nos ambientes dos clientes. Tokens de acesso emitidos antes da revogação podem continuar válidos até expirarem, enquanto credenciais adicionais criadas pelos invasores exigem investigação e remoção específicas.

A suspensão interrompeu os backups programados, o acesso aos arquivos armazenados e as funcionalidades de restauração. A empresa afirmou que os arquivos existentes permanecem criptografados, isolados e preservados, sem evidências de acesso ou comprometimento pelos invasores.

O monitoramento e os alertas do SaaS Security também estão indisponíveis, assim como os recursos de gerenciamento de usuários e licenças do Cloud Management.

ConnectWise investiga origem do comprometimento

A ConnectWise informou que identificou o incidente em 14 de outubro de 2026, por meio de seus mecanismos de monitoramento de segurança, e iniciou procedimentos internos e externos de investigação e resposta.

Após a implementação das medidas de contenção, a companhia não observou novas atividades maliciosas bem-sucedidas nos ambientes que monitora. Entretanto, ressaltou que não possui visibilidade direta sobre todos os ambientes Microsoft 365 de seus clientes.

Ainda não está claro se alguma vulnerabilidade nos produtos contribuiu para o comprometimento. O mecanismo exato de exposição das credenciais permanece sob investigação.

O ataque explorou a confiança concedida às aplicações ConnectWise pelos administradores dos ambientes Microsoft 365. Ao obter credenciais dessas aplicações, os invasores conseguiram solicitar tokens ao Microsoft Entra ID utilizando permissões previamente autorizadas, sem precisar roubar individualmente as senhas dos usuários.

Dependendo dos privilégios existentes, esse acesso pode permitir a consulta a caixas de e-mail, documentos do SharePoint, mensagens do Teams e informações de diretório.

A investigação também identificou técnicas para ampliar privilégios, incluindo a atribuição da função de Administrador Global a aplicações, a inclusão de novos segredos de cliente (client secrets) em ferramentas confiáveis e a criação de aplicações com permissões adicionais.

Esses mecanismos podem estabelecer persistência nos ambientes comprometidos, permitindo que os hackers recuperem o acesso mesmo após a revogação da credencial originalmente explorada.

Huntress identifica segunda onda de ataques contra 16 organizações

A Huntress identificou uma segunda onda de tentativas direcionadas em 15 de outubro, originadas do endereço IP 144.172.64[.]128. A atividade envolveu 16 ambientes Microsoft Entra associados a organizações dos setores de políticas públicas, segurança nacional, comércio e minerais críticos.

Segundo Jon Semon, analista principal de operações de segurança da Huntress, as últimas autenticações maliciosas observadas a partir do endereço original ocorreram às 08h45 UTC de 15 de outubro. Atividades manuais direcionadas continuaram até aproximadamente 14h20 UTC.

A primeira etapa da nova onda ocorreu entre 09h25min04s e 12h35min50s, com tentativas de obtenção de tokens do Microsoft Graph por meio da aplicação SkyKick.

A segunda etapa, entre 13h54min39s e 14h20min24s, apresentou características de operação manual e direcionou tentativas de acesso ao Exchange Online, SharePoint Online, Teams, Azure Resource Manager, Microsoft Entra e APIs de gerenciamento do Office 365.

As tentativas contra esses 16 ambientes não tiveram sucesso, segundo a Huntress.

A empresa também afirmou ter alta confiança de que os invasores direcionaram atividades contra aplicações ConnectWise Cloud Management integradas ao Exchange Online, Microsoft Teams e SharePoint. O abuso da aplicação do Teams foi confirmado em pelo menos um ambiente.

Até o momento da análise, a Huntress não havia identificado novas atividades maliciosas desde 15 de outubro, mas ressaltou que não existem evidências de que a interrupção tenha sido provocada pela divulgação pública do incidente.

Quase mil ambientes Microsoft Entra registraram atividade suspeita

A Huntress identificou atividades de autenticação associadas ao endereço IP malicioso em quase mil ambientes Microsoft Entra, dos quais aproximadamente 300 registraram autenticações bem-sucedidas.

Entretanto, autenticação bem-sucedida não significa necessariamente comprometimento efetivo. Em determinados ambientes, a ausência de um principal de serviço (service principal) impediu que os invasores obtivessem acesso aos recursos pretendidos.

Os números representam uma ampliação da investigação em relação aos 173 ambientes com autenticações não autorizadas confirmadas inicialmente.

A ConnectWise também divulgou dois novos endereços IP associados à atividade, identificados por meio do monitoramento de segurança de parceiros e clientes:

• 144.172.64[.]128 — endereço originalmente associado aos ataques.

• 144.172.64[.]99 — novo indicador identificado.

• 144.172.64[.]60 — novo indicador identificado.

Sete identidades de aplicações foram desativadas

A ConnectWise confirmou a desativação das seguintes identidades utilizadas por seus serviços:

Aplicação	Application ID
ConnectWise Cloud Backup	506e08f9-6e9a-4da4-942b-a099a03644ae
ConnectWise Cloud Management	2399d300-6fca-4e6a-a686-399fefe75b83
Cloud Management – MS Teams	24205314-2b89-4e07-a2a4-579e898a5640
Cloud Management – Exchange Online	b78f6a77-d4e5-46fb-87e5-d1648bd02519
Cloud Management – MS Graph	0de14c77-b9b0-4137-9360-34878a929827
Cloud Management – Partner Center	412dcf96-176d-4b3a-a1b0-4981ad66971e
Cloud Management – SharePoint Online	b2b55f5b-7758-4719-8d8f-88ae172e6bdb

A empresa recomenda que parceiros e clientes mantenham as conexões afetadas desabilitadas até novas orientações.

Recomendações para administradores Microsoft 365

A Huntress orienta os provedores de serviços gerenciados (MSPs) a investigar tanto seus próprios ambientes Microsoft 365 quanto os de todos os clientes administrados, incluindo aqueles com conexões antigas ou inativas do SkyKick.

A análise deve abranger registros de autenticação desde 13 de outubro de 2026, com atenção aos três endereços IP associados à campanha. Os registros de autenticação e auditoria devem ser preservados antes da execução de medidas de contenção.

Também é recomendado revisar credenciais de aplicações, relações de confiança federadas, permissões administrativas, proprietários de aplicações, concessões OAuth e alterações recentes em políticas de segurança.

Os administradores devem procurar regras não autorizadas de encaminhamento de e-mails, modificações nas caixas de entrada, regras de transporte e acessos delegados a mensagens.

Para reduzir o risco de persistência, a Huntress recomenda utilizar políticas de gerenciamento de aplicações que restrinjam a criação de segredos de cliente e limitem sua validade.

A redução de usuários com funções Application Administrator e Cloud Application Administrator também dificulta a inclusão indevida de credenciais.

Recursos como Conditional Access para identidades de carga de trabalho, que exigem licenciamento adicional, e Microsoft Entra ID Protection podem restringir origens de autenticação e identificar principais de serviço suspeitos.

A ConnectWise mantém Cloud Backup, SaaS Security e Cloud Management suspensos enquanto realiza a remediação e validação de segurança. Ainda não foi informado um prazo para o restabelecimento dos serviços.