Todo app externo que sua empresa conectou ao Microsoft 365, seja para backup, assinatura eletrônica ou gestão de e-mails, guarda uma chave que abre seus e-mails e arquivos sem senha e sem código de verificação. Foi exatamente isso que invasores exploraram este mês: roubaram credenciais dos aplicativos ConnectWise Cloud Backup (antigo SkyKick), usaram essas credenciais para atacar mais de 2.250 ambientes Microsoft 365 no mundo todo e, em alguns casos, chegaram a direitos de administrador global em menos de 3 horas. Faça três coisas hoje: peça ao seu responsável de TI a lista de apps conectados à sua conta e as permissões deles, desative tudo o que você não reconhece ou não usa mais e verifique quem foi adicionado à função de administrador global desde 1 de outubro.

O que aconteceu exatamente?

Segundo o relatório de segurança da Microsoft publicado em 21 de outubro de 2026, o ataque foi feito por um grupo ligado à China que a Microsoft rastreia como Storm-0940, usando o ARTEX, uma ferramenta de código aberto de testes de invasão movida a IA. Entre 10 e 14 de outubro, o grupo conduziu uma campanha automatizada de adivinhação de senhas que gerou mais de 151.000 logins fracassados contra 327 contas em 8 organizações, com pico em 11 de outubro de cerca de 2.900 tentativas por minuto.

Depois veio o passo mais perigoso. Os invasores obtiveram credenciais dos aplicativos ConnectWise Cloud Backup, um serviço que faz backup de e-mails e arquivos do Microsoft 365 e que muitas empresas usam por meio dos provedores de serviços de TI que administram seus sistemas. Como esses aplicativos já tinham consentimento para acessar os dados dos clientes, os invasores puderam fazer login como o próprio aplicativo, e não como um funcionário, sem precisar da senha de ninguém nem de um código de dois fatores. Lá dentro, alteraram credenciais de aplicativos, atribuíram a si mesmos a função de administrador global (Global Administrator) e exploraram o ambiente pelo Microsoft Graph.

Como a ConnectWise reagiu?

Segundo a página oficial de avisos do ConnectWise Trust Center, a empresa descobriu o problema em 14 de outubro, divulgou em 16 de outubro e, às 07:00 UTC de 17 de outubro, desativou sete identidades de aplicativo ligadas ao serviço, suspendendo o Cloud Backup junto com o SaaS Security e o Cloud Management. A ConnectWise diz que os arquivos de backup continuam criptografados e isolados, sem indício de comprometimento, e prevê a reintegração dos parceiros em fases a partir da segunda-feira, 26 de outubro.

O mesmo aviso traz uma frase que todo empresário deveria ler: desativar essas conexões impede novos logins por meio delas, mas não desfaz as alterações que o invasor já fez dentro do seu tenant. Uma conta de administrador que o invasor adicionou, ou um app cujas chaves ele trocou, continua exatamente igual até que sua própria equipe remova.

Por que isso importa mesmo que você nunca tenha usado a ConnectWise

Esta não é a história de um único produto. Toda conta Microsoft 365 tem uma lista de apps externos que algum funcionário ou administrador aprovou em algum momento: uma ferramenta de assinatura, uma agenda de horários, um sistema de backup, um complemento de IA que lê e-mails. Alguns têm permissão para toda a organização, ou seja, podem ler os e-mails e arquivos de todos os funcionários, e essa permissão continua valendo muito depois de todos terem esquecido o app. Se o fornecedor do app for invadido, a chave dele vira a chave do invasor.

Há uma segunda lição. As empresas que dependiam do Cloud Backup estão há mais de uma semana sem o serviço de backup pelo qual pagam. Se um único fornecedor guarda sua única cópia e, ao mesmo tempo, tem a chave dos seus dados ativos, você empilhou dois riscos no mesmo lugar.

Cinco passos para pedir à sua equipe esta semana

  • Faça o inventário dos apps conectados: no centro de administração do Microsoft Entra, abra Enterprise apps, depois All applications, e revise a aba Permissions conforme descrito no guia oficial da Microsoft para revisar permissões de apps. Comece pelos apps com permissão para toda a organização.
  • Desative, não exclua: se encontrar apps da ConnectWise ou SkyKick, desative-os até que a empresa publique instruções para o seu serviço. A Microsoft recomenda manter o app desativado em vez de excluí-lo, para não perder evidências da investigação.
  • Revise as funções de administrador: peça uma lista de todos que têm a função de administrador global e de qualquer mudança nela desde 1 de outubro. Você deve conhecer cada nome da lista.
  • Verifique os logs: revise os logs de login e de auditoria desde pelo menos 1 de outubro e procure atividade vinda de 144.172.64.99, 144.172.64.60 e 144.172.64.128, os endereços publicados pela ConnectWise. Uma correspondência não prova comprometimento por si só, mas justifica uma investigação.
  • Acabe com aprovações casuais: ative um fluxo de consentimento do administrador para que nenhum funcionário possa dar a um app novo acesso aos dados da empresa com um clique, como explica o guia da Microsoft para configurar o consentimento dos usuários.

Se você leu nosso artigo sobre a versão comprometida do LiteLLM, o padrão é o mesmo: o invasor não arromba sua porta, ele entra pela porta de um fornecedor em quem você confia. E se isso fez você repensar seus backups, veja nosso guia de backup e recuperação de desastres.

A visão da Origami

Aqui os invasores não precisaram de nenhuma falha da Microsoft nem de enganar nenhum funcionário; usaram uma confiança que as próprias empresas deram a um app externo e depois esqueceram. Por isso, na Origami, tratamos cada integração que construímos com o Microsoft 365 ou com qualquer plataforma em nuvem como uma permissão que precisa de um motivo, um responsável e uma data de revisão: o mínimo de acesso que a integração precisa, chaves que se renovam e um registro claro do que o app faz em nome da sua empresa. Se você quer revisar os apps conectados às contas da sua empresa, ou uma integração que não tenha mais do que precisa, fale conosco.

Fontes