Cada app externa que su empresa ha conectado a Microsoft 365, ya sea para copias de seguridad, firma electrónica o gestión del correo, tiene una llave que abre su correo y sus archivos sin contraseña y sin código de verificación. Eso es exactamente lo que unos atacantes explotaron este mes: robaron credenciales de las aplicaciones de ConnectWise Cloud Backup (antes SkyKick), las usaron para atacar más de 2.250 entornos de Microsoft 365 en todo el mundo y, en algunos casos, obtuvieron derechos de administrador global en menos de 3 horas. Haga tres cosas hoy: pida a su responsable de TI la lista de apps conectadas a su cuenta y sus permisos, desactive todo lo que no reconozca o ya no use, y compruebe quién ha sido añadido al rol de administrador global desde el 1 de octubre.

¿Qué pasó exactamente?

Según el informe de seguridad de Microsoft publicado el 21 de octubre de 2026, el ataque lo llevó a cabo un grupo vinculado a China al que Microsoft identifica como Storm-0940, usando ARTEX, una herramienta de pruebas de penetración de código abierto impulsada por IA. Entre el 10 y el 14 de octubre, el grupo lanzó una campaña automatizada de adivinación de contraseñas que generó más de 151.000 inicios de sesión fallidos contra 327 cuentas en 8 organizaciones, con un pico el 11 de octubre de unos 2.900 intentos por minuto.

Después llegó el paso más peligroso. Los atacantes obtuvieron credenciales de las aplicaciones de ConnectWise Cloud Backup, un servicio que hace copias de seguridad del correo y los archivos de Microsoft 365 y que muchas empresas usan a través de los proveedores de servicios de TI que gestionan sus sistemas. Como esas aplicaciones ya tenían consentimiento para acceder a los datos de los clientes, los atacantes pudieron iniciar sesión como la propia aplicación y no como un empleado, así que no necesitaron la contraseña de nadie ni un código de dos factores. Una vez dentro, cambiaron credenciales de aplicaciones, se asignaron el rol de administrador global (Global Administrator) y exploraron el entorno a través de Microsoft Graph.

¿Cómo respondió ConnectWise?

Según la página oficial de avisos del ConnectWise Trust Center, la empresa descubrió el problema el 14 de octubre, lo hizo público el 16 de octubre y, a las 07:00 UTC del 17 de octubre, desactivó siete identidades de aplicación vinculadas al servicio, suspendiendo Cloud Backup junto con SaaS Security y Cloud Management. ConnectWise afirma que los archivos de copia de seguridad siguen cifrados y aislados, sin indicios de compromiso, y prevé reincorporar a los socios por fases a partir del lunes 26 de octubre.

El mismo aviso contiene una frase que todo empresario debería leer: desactivar esas conexiones impide nuevos inicios de sesión a través de ellas, pero no revierte los cambios que el atacante ya hizo dentro de su tenant. Una cuenta de administrador que el atacante añadió, o una app cuyas claves cambió, sigue exactamente igual hasta que su propio equipo la elimine.

Por qué le importa aunque nunca haya usado ConnectWise

Esta no es la historia de un solo producto. Cada cuenta de Microsoft 365 tiene una lista de apps externas que algún empleado o administrador aprobó en algún momento: una herramienta de firma, un calendario de citas, un sistema de copias de seguridad, un complemento de IA que lee el correo. Algunas tienen permisos para toda la organización, es decir, pueden leer el correo y los archivos de todos los empleados, y ese permiso sigue vigente mucho después de que todos hayan olvidado la app. Si el proveedor de la app sufre una brecha, su llave se convierte en la llave del atacante.

Hay una segunda lección. Las empresas que dependían de Cloud Backup llevan más de una semana sin el servicio de copias de seguridad por el que pagan. Si un solo proveedor guarda su única copia y además tiene la llave de sus datos en vivo, ha acumulado dos riesgos en un mismo lugar.

Cinco pasos que pedir a su equipo esta semana

  • Haga inventario de las apps conectadas: en el centro de administración de Microsoft Entra abra Enterprise apps, luego All applications, y revise la pestaña Permissions como se describe en la guía oficial de Microsoft para revisar los permisos de las apps. Empiece por las apps con permisos para toda la organización.
  • Desactive, no elimine: si encuentra apps de ConnectWise o SkyKick, desactívelas hasta que la empresa publique instrucciones para su servicio. Microsoft recomienda mantener la app desactivada en lugar de eliminarla para no perder pruebas de la investigación.
  • Revise los roles de administrador: pida una lista de todas las personas con el rol de administrador global y de cualquier cambio desde el 1 de octubre. Debe conocer cada nombre de la lista.
  • Revise los registros: examine los registros de inicio de sesión y auditoría desde al menos el 1 de octubre y busque actividad desde 144.172.64.99, 144.172.64.60 y 144.172.64.128, las direcciones que publicó ConnectWise. Una coincidencia no demuestra por sí sola un compromiso, pero justifica una investigación.
  • Acabe con las aprobaciones a la ligera: active un flujo de consentimiento del administrador para que ningún empleado pueda dar a una app nueva acceso a los datos de la empresa con un clic, como explica la guía de Microsoft para configurar el consentimiento de los usuarios.

Si leyó nuestro artículo sobre la versión comprometida de LiteLLM, el patrón es el mismo: el atacante no rompe su puerta, entra por la de un proveedor en el que usted confía. Y si esto le hace replantearse sus copias de seguridad, consulte nuestra guía de copias de seguridad y recuperación ante desastres.

La visión de Origami

Aquí los atacantes no necesitaron ningún fallo de Microsoft ni engañar a ningún empleado; usaron la confianza que las propias empresas concedieron a una app externa y luego olvidaron. Por eso en Origami tratamos cada integración que construimos con Microsoft 365 o con cualquier plataforma en la nube como un permiso que necesita un motivo, un responsable y una fecha de revisión: el mínimo acceso que la integración necesita, claves que se renuevan y un registro claro de lo que la app hace en nombre de su empresa. Si quiere revisar las apps conectadas a las cuentas de su empresa, o una integración que no tenga más de lo que necesita, contáctenos.

Fuentes