Ataque à ConnectWise compromete backups de Microsoft 365
Publicado em 19/10/2026
A ConnectWise, fornecedora de soluções de backup para Microsoft 365, identificou acesso não autorizado às identidades de aplicação que gerenciam os backups de seus clientes. O incidente, descoberto em outubro, afetou dezenas de empresas e levou a empresa a desativar o serviço enquanto trabalha na remediação.
O que aconteceu no ataque
No dia 15 de outubro, hackers iniciaram tentativas de autenticação não autorizada a partir do endereço IP 144.172.64.128 contra a plataforma Cloud Backup da ConnectWise. A atividade maliciosa foi posteriormente confirmada pela Microsoft, pela plataforma Huntress e por administradores de diferentes organizações. Huntress identificou pelo menos 162 tenants comprometidos em seu ambiente.
O ataque explorou as identidades de aplicação (conhecidas como service principals) que a ConnectWise usa para acessar recursos nos tenants dos clientes. Essas identidades têm permissões para fazer backup e recuperar dados como e-mails e arquivos armazenados em Microsoft 365. Um relato de usuário documentou como a identidade SkyKick se atribuiu a função de Exchange Administrator sem autorização, demonstrando o escopo do comprometimento.
Como o serviço funciona e por que ficou vulnerável
A Cloud Backup da ConnectWise protege dados em ambientes de nuvem para provedores de serviços gerenciados (MSPs) e equipes de TI. Para Microsoft 365, o serviço obtém permissões através do Microsoft Entra ID, que concede ao service principal da aplicação acesso aos recursos do tenant conforme configurado. Essa confiança é necessária para o funcionamento do backup, mas também criou um ponto de risco quando as identidades da aplicação foram comprometidas.
Uma vez que os hackers acessaram essas identidades de aplicação, puderam agir como se fossem o próprio serviço de backup, contornando controles normais de segurança. ConnectWise afirma que não há indicadores de que os dados já armazenados nos arquivos de backup foram roubados, mas a severidade do acesso não autorizado justificou o encerramento imediato do serviço.
Por que sua empresa deve se preocupar
Se sua organização usa ou usava a ConnectWise Cloud Backup, houve uma janela de tempo em que alguém não autorizado poderia ter acessado suas permissões no Microsoft 365. Isso afeta não apenas a segurança dos backups, mas também a confiança na arquitetura de permissões do seu tenant. Empresas que dependem desse serviço também enfrentam interrupção na capacidade de recuperar dados enquanto a ConnectWise trabalha na restauração.
O incidente ilustra um risco inerente aos serviços de backup e terceirizados: quanto mais acesso uma ferramenta precisa para funcionar, maior é o dano potencial se sua segurança falhar. Gestores precisam reconhecer que fornecedores de backup não são exceções à necessidade de monitoramento contínuo de atividades privilegiadas.
O que fazer
- Verifique no seu tenant de Microsoft 365 se a ConnectWise Cloud Backup estava ativa e, em caso afirmativo, revise o histórico de atividades no Privileged Identity Management (PIM) do dia 15 de outubro em diante para detectar atribuições de funções ou alterações de permissão anormais.
- Analise os logs de autenticação e atividade em seu Microsoft Entra ID e Exchange para identificar acessos ou operações suspeitas originadas de contas de serviço. Considere mudar senhas de contas administrativas e revogar tokens se necessário.
- Revise as permissões concedidas ao service principal da ConnectWise em seu tenant. Reduza o escopo de acesso ao mínimo necessário assim que o serviço for restaurado, aplicando o princípio do menor privilégio.
- Implemente ou reforce o monitoramento de atividades privilegiadas no seu ambiente Microsoft 365, alertando sobre mudanças de funções administrativas e atividades fora do horário comercial, especialmente em contas de serviço.
Fonte: BleepingComputer (publicado em 17/10/2026). Texto elaborado pela Winit a partir de informações públicas da fonte citada.
Saiba mais: Segurança de rede na Winit.