Credencial comprometida do ConnectWise foi usada em 173 ambientes Microsoft
Uma credencial vinculada ao ConnectWise Cloud Backup, serviço anteriormente conhecido como SkyKick Backup, foi explorada para acessar pelo menos 173 ambientes de parceiros e clientes no Microsoft 365. A Microsoft classificou o episódio como um ataque ativo à cadeia de fornecimento, pois o acesso ocorreu por meio de uma identidade de aplicativo associada ao fornecedor.
A invasão não dependeu da descoberta de uma senha nem da quebra da autenticação multifator. Em vez disso, o invasor utilizou uma asserção de cliente emitida no ambiente do provedor para se passar por um aplicativo já autorizado. Com essa identidade, conseguiu obter tokens de acesso para o Microsoft Graph, plataforma usada por aplicações para interagir com serviços e dados da Microsoft.
A atividade foi registrada em 15 de outubro, entre 06h13 e 08h34, no horário UTC. Nesse intervalo, os acessos avançaram por identificadores de ambientes em sequência e com poucos segundos entre cada tentativa. O ritmo regular indica o uso de automação e sugere que havia uma lista de possíveis alvos preparada previamente.
O alcance potencial era significativo porque as permissões concedidas ao aplicativo de backup abrangiam diferentes componentes do Microsoft 365, incluindo Exchange, OneDrive, SharePoint, Teams e dados do diretório. A amplitude dessas autorizações significa que uma credencial comprometida pode oferecer acesso a vários serviços, conforme as permissões aprovadas por cada organização.
Em um dos ambientes afetados, outro aplicativo da ConnectWise atribuiu a si próprio o papel de administrador global. Também foram criados segredos em duas aplicações consideradas confiáveis, com validade até 2028. A duração prolongada dessas credenciais poderia manter uma via de acesso disponível caso elas não fossem identificadas e removidas.
A quantidade de 173 ambientes deve ser entendida como um mínimo, não como o total definitivo. O número identificado passou de 162 em 16 de outubro para 173 no dia seguinte, enquanto a investigação avançava. Como a credencial poderia ser usada em qualquer ambiente que tivesse autorizado o aplicativo, a extensão do impacto dependia também de quantas organizações haviam concedido esse consentimento.
Até o momento das informações divulgadas, não havia confirmação de que arquivos ou mensagens tivessem sido copiados. Isso não elimina a necessidade de apuração: a existência de acesso indevido não prova, por si só, que houve extração de dados, mas exige que os registros disponíveis sejam analisados para identificar quais operações foram realizadas.
Em 17 de outubro, a ConnectWise desativou sete identidades de aplicativo, revogou certificados associados às conexões afetadas e suspendeu o Cloud Backup. Com a interrupção do serviço, backups programados e restaurações ficaram temporariamente indisponíveis. A medida buscou impedir novas autenticações, embora tokens emitidos antes da desativação pudessem continuar válidos até o vencimento.
A recomendação às organizações é desativar os aplicativos envolvidos, em vez de excluí-los imediatamente. A exclusão remove o consentimento concedido ao aplicativo e pode dificultar a análise do estado anterior das autorizações. Também é necessário revisar os aplicativos corporativos para localizar credenciais adicionadas a partir de 13 de outubro, período relevante para a investigação.
Cada empresa deve verificar tanto o próprio ambiente quanto os ambientes de clientes sob sua responsabilidade. Para isso, é importante conferir identidades de aplicativos, permissões concedidas, certificados, segredos e atribuições de funções administrativas. A análise deve considerar também alterações que pareçam legítimas à primeira vista, mas tenham sido feitas fora dos processos habituais de gestão.
Como medida de contenção, equipes de segurança podem registrar quais aplicativos foram desativados e preservar os dados de auditoria antes que os períodos de retenção terminem. Esses registros ajudam a reconstruir a sequência de acessos, identificar contas ou serviços consultados e avaliar se houve mudanças nas configurações do ambiente.
Também é recomendável comparar as permissões atuais com as necessidades reais de cada integração. Aplicativos de backup podem exigir acesso amplo para cumprir suas funções, mas autorizações desnecessárias aumentam o impacto potencial de uma invasão. Sempre que possível, o princípio do menor privilégio deve orientar a concessão e a manutenção desses acessos.
A restauração do serviço de backup deve ser tratada com cautela. Antes de reativar integrações, as organizações precisam confirmar que as credenciais e os certificados relacionados foram substituídos ou considerados seguros e que as permissões foram revisadas. A continuidade operacional é importante, mas não deve reintroduzir uma identidade cuja integridade ainda não tenha sido verificada.
O incidente evidencia um risco próprio de serviços conectados à nuvem: uma falha no fornecedor pode repercutir nos ambientes de vários clientes que autorizaram suas aplicações. Por isso, além de proteger senhas e contas de usuários, empresas precisam acompanhar as identidades não humanas – como aplicativos e integrações -, limitar suas permissões e monitorar alterações incomuns.