Índice de contenidos
Claves de la noticia
- ConnectWise ha suspendido el acceso de Cloud Backup tras detectar accesos no autorizados a identidades de aplicaciones.
- El proveedor afirma que el archivo de copias existente no está afectado; eso no resuelve por sí solo la exposición de Microsoft 365.
- La respuesta necesita revisar permisos y credenciales, además de comprobar cuándo se realizó el último respaldo válido.
ConnectWise ha interrumpido su servicio Cloud Backup, antes SkyKick, como medida de protección durante una investigación de seguridad. La actualización oficial de este 17 de octubre cambia la situación para las empresas que dependen de esas copias: mientras se investiga el acceso, también deben gestionar una pausa en su protección.
La madrugada cambia el estado del servicio
El aviso del proveedor distingue dos momentos. El comunicado inicial apareció el 16 de octubre a las 17:47 UTC; la actualización que anuncia el cierre del acceso está fechada el 17 a las 05:01 UTC, las 07:01 en la España peninsular. Entre ambos avisos transcurren 11 horas y 14 minutos, calculados a partir de sus marcas temporales. Es el intervalo entre comunicaciones, no una medición del tiempo de respuesta interno ni de la duración del ataque.
ConnectWise sostiene que no tiene indicadores de compromiso de los datos de respaldo alojados y que el archivo existente seguirá disponible cuando se restablezca el servicio. No da una fecha de recuperación. Para un cliente, conservar una copia anterior y continuar produciendo copias nuevas son condiciones distintas: la interrupción obliga a comprobar ambas.
Tres superficies que conviene comprobar por separado
La comparación entre el aviso y la investigación de Huntress permite ordenar el alcance sin convertir posibilidades en daños confirmados. El proveedor habla de sus respaldos almacenados; los investigadores analizan identidades con permisos dentro de los entornos de sus clientes. Las dos afirmaciones no describen necesariamente el mismo conjunto de datos.
| Superficie | Pregunta necesaria | Prueba que falta |
|---|---|---|
| Archivo de respaldo | ¿Se conservan las copias anteriores? | Restauración y disponibilidad efectiva |
| Entorno Microsoft 365 | ¿Qué hizo la identidad autorizada? | Registros de acceso y actividad |
| Otras aplicaciones | ¿Se añadieron credenciales o privilegios? | Inventario de cambios y revisión de secretos |
La conclusión es concreta: un archivo de copias intacto no demuestra que los datos originales estén a salvo. Tampoco un acceso a Microsoft 365 prueba por sí mismo que se hayan alterado los respaldos. Esta distinción evita dar por cerrado un incidente al verificar una sola de las tres filas.
La identidad de una aplicación también abre puertas
Microsoft explica en su documentación sobre aplicaciones y entidades de servicio que el registro de una aplicación y su representación dentro de cada organización cumplen funciones diferentes. En una aplicación con varios clientes, cada entorno conserva una entidad de servicio local que concreta su acceso. El nombre comercial visible no sustituye a esa identidad técnica.
Por eso el inventario debe buscar el identificador de Cloud Backup, 506e08f9-6e9a-4da4-942b-a099a03644ae, y comprobar la entidad editada antes de actuar. Una organización puede haber cambiado de proveedor o de administrador sin que desaparezcan todas las autorizaciones antiguas. Blumira recomienda revisar también los entornos heredados y buscar por identificador, porque el cambio de SkyKick a ConnectWise puede dificultar una búsqueda basada únicamente en nombres.
Es una diferencia útil frente al robo de cuentas y otros vectores de acceso inicial: revisar solo usuarios no agota las identidades que pueden operar sobre los datos. Una integración conserva el alcance que se le haya concedido aunque nadie esté utilizando su interfaz en ese momento.
Desactivar contiene; auditar permite recuperar
Huntress documenta, en un entorno, una segunda aplicación de ConnectWise que se otorgó el rol de administrador global y añadió credenciales a otras aplicaciones. Esa observación no demuestra que ocurriera en todos los clientes. Sí explica por qué los investigadores piden revisar secretos y certificados añadidos: desactivar la puerta inicial no elimina automáticamente otra credencial ya creada.
La guía de Microsoft sobre desactivación añade un límite importante: impedir nuevas emisiones de tokens no invalida automáticamente los tokens de acceso existentes, que conservan su vigencia hasta expirar. También diferencia una desactivación global del bloqueo de una entidad de servicio en un único entorno. Son medidas con alcances distintos, aunque ambas aparezcan asociadas a una aplicación.
Por tanto, una comprobación útil conserva la hora de contención, las autorizaciones concedidas y los cambios posteriores. El equipo puede contrastar si sigue apareciendo actividad y qué identidad la ejecuta, en lugar de interpretar el botón de desactivación como certificado de limpieza. El incidente obliga a verificar tanto el acceso inicial como los mecanismos de persistencia que hayan podido quedar.
El respaldo pendiente también es una incidencia
Para una pyme española que delegue Microsoft 365 en un proveedor de servicios, la primera petición operativa es doble: confirmar si tiene esa integración autorizada y obtener la fecha de su última copia correcta. A partir de esa fecha puede determinar qué trabajo reciente quedaría fuera de una restauración. Es una consecuencia de la pausa, no una afirmación de pérdida de datos ya producida.
La revisión de copias y restauraciones verificables resulta pertinente aquí aunque este incidente no se presente como ransomware. Hay que registrar qué servicio está suspendido, qué archivo se conserva y cómo se recuperaría. El criterio para reanudar no puede limitarse a que vuelva a funcionar la copia automática: también debe haberse revisado la confianza que permite a esa aplicación entrar en el entorno del cliente.
Imagen: generada con IA para Tecnología Today. Escena conceptual de almacenamiento y una conexión interrumpida; no muestra instalaciones del proveedor ni documenta el ataque.
