Ogni app esterna che la tua azienda ha collegato a Microsoft 365, per il backup, la firma elettronica o la gestione della posta, possiede una chiave che apre e-mail e file senza password e senza codice di verifica. È esattamente ciò che alcuni attaccanti hanno sfruttato questo mese: hanno rubato le credenziali delle applicazioni ConnectWise Cloud Backup (in precedenza SkyKick), le hanno usate per prendere di mira oltre 2.250 ambienti Microsoft 365 in tutto il mondo e in alcuni casi hanno ottenuto i diritti di amministratore globale in meno di 3 ore. Fai tre cose oggi: chiedi al tuo responsabile IT l'elenco delle app collegate al tuo account e delle loro autorizzazioni, disattiva tutto ciò che non riconosci o non usi più e verifica chi è stato aggiunto al ruolo di amministratore globale dal 1 ottobre.

Che cosa è successo esattamente?

Secondo il rapporto di sicurezza di Microsoft pubblicato il 21 ottobre 2026, l'attacco è opera di un gruppo legato alla Cina che Microsoft identifica come Storm-0940, che ha usato ARTEX, uno strumento open source di penetration testing basato sull'IA. Tra il 10 e il 14 ottobre il gruppo ha condotto una campagna automatizzata per indovinare le password che ha prodotto oltre 151.000 accessi falliti contro 327 account in 8 organizzazioni, con un picco l'11 ottobre di circa 2.900 tentativi al minuto.

Poi è arrivato il passo più pericoloso. Gli attaccanti hanno ottenuto le credenziali delle applicazioni ConnectWise Cloud Backup, un servizio che esegue il backup di posta e file di Microsoft 365 e che molte aziende usano tramite i fornitori di servizi IT che gestiscono i loro sistemi. Poiché quelle applicazioni avevano già ricevuto il consenso ad accedere ai dati dei clienti, gli attaccanti hanno potuto accedere come l'applicazione stessa e non come un dipendente, senza bisogno della password di nessuno né di un codice a due fattori. Una volta dentro, hanno modificato credenziali di applicazioni, si sono assegnati il ruolo di amministratore globale (Global Administrator) e hanno esplorato l'ambiente tramite Microsoft Graph.

Come ha reagito ConnectWise?

Secondo la pagina ufficiale degli avvisi del ConnectWise Trust Center, l'azienda ha scoperto il problema il 14 ottobre, lo ha reso pubblico il 16 ottobre e alle 07:00 UTC del 17 ottobre ha disattivato sette identità di applicazione legate al servizio, sospendendo Cloud Backup insieme a SaaS Security e Cloud Management. ConnectWise afferma che gli archivi di backup restano cifrati e isolati, senza indizi di compromissione, e punta a riattivare i partner per fasi a partire da lunedì 26 ottobre.

Lo stesso avviso contiene una frase che ogni imprenditore dovrebbe leggere: disattivare queste connessioni impedisce nuovi accessi attraverso di esse, ma non annulla le modifiche che l'attaccante ha già fatto nel tuo tenant. Un account di amministratore aggiunto dall'attaccante, o un'app di cui ha cambiato le chiavi, resta esattamente com'è finché il tuo team non lo rimuove.

Perché ti riguarda anche se non hai mai usato ConnectWise

Non è la storia di un solo prodotto. Ogni account Microsoft 365 ha un elenco di app esterne che qualche dipendente o amministratore ha approvato in passato: uno strumento di firma, un calendario per gli appuntamenti, un sistema di backup, un componente di IA che legge la posta. Alcune hanno autorizzazioni su tutta l'organizzazione, cioè possono leggere la posta e i file di tutti i dipendenti, e quell'autorizzazione resta valida molto dopo che tutti hanno dimenticato l'app. Se il fornitore dell'app viene violato, la sua chiave diventa la chiave dell'attaccante.

C'è una seconda lezione. Le aziende che si affidavano a Cloud Backup sono rimaste per più di una settimana senza il servizio di backup che pagano. Se un solo fornitore custodisce la tua unica copia e allo stesso tempo ha la chiave dei tuoi dati attivi, hai concentrato due rischi in un unico posto.

Cinque passi da chiedere al tuo team questa settimana

  • Fai l'inventario delle app collegate: nell'interfaccia di amministrazione di Microsoft Entra apri Enterprise apps, poi All applications, e controlla la scheda Permissions come descritto nella guida ufficiale di Microsoft per verificare le autorizzazioni delle app. Comincia dalle app con autorizzazioni su tutta l'organizzazione.
  • Disattiva, non eliminare: se trovi app ConnectWise o SkyKick, disattivale finché l'azienda non pubblica istruzioni per il tuo servizio. Microsoft consiglia di tenere l'app disattivata invece di eliminarla, per non perdere le prove utili all'indagine.
  • Rivedi i ruoli di amministratore: chiedi un elenco di tutte le persone con il ruolo di amministratore globale e di ogni modifica dal 1 ottobre. Devi conoscere ogni nome dell'elenco.
  • Controlla i log: esamina i log di accesso e di audit almeno dal 1 ottobre e cerca attività provenienti da 144.172.64.99, 144.172.64.60 e 144.172.64.128, gli indirizzi pubblicati da ConnectWise. Una corrispondenza da sola non prova una compromissione, ma giustifica un'indagine.
  • Basta approvazioni alla leggera: attiva un flusso di consenso dell'amministratore, così nessun dipendente può dare a una nuova app l'accesso ai dati aziendali con un clic, come spiega la guida di Microsoft per configurare il consenso degli utenti.

Se hai letto il nostro articolo sulla versione compromessa di LiteLLM, lo schema è lo stesso: l'attaccante non sfonda la tua porta, entra da quella di un fornitore di cui ti fidi. E se questo ti fa ripensare ai tuoi backup, leggi la nostra guida su backup e disaster recovery.

Il punto di vista di Origami

Qui gli attaccanti non hanno avuto bisogno di una falla di Microsoft né di ingannare un dipendente; hanno usato una fiducia che le aziende stesse avevano concesso a un'app esterna e poi dimenticato. Per questo in Origami trattiamo ogni integrazione che costruiamo con Microsoft 365 o con qualsiasi piattaforma cloud come un'autorizzazione che richiede un motivo, un responsabile e una data di revisione: il minimo accesso necessario all'integrazione, chiavi che si rinnovano e una traccia chiara di ciò che l'app fa a nome della tua azienda. Se vuoi far verificare le app collegate agli account della tua azienda, o un'integrazione che non abbia più di quanto le serve, contattaci.

Fonti