ConnectWise sospende Cloud Backup dopo la compromissione di tenant Microsoft 365

• ConnectWise ha disabilitato sette identità applicative e sospeso Cloud Backup per tutti gli utenti
• Attaccanti ignoti hanno compromesso tenant Microsoft 365; Huntress cita quasi 1.000 tenant e 300 accessi riusciti
• Causa ancora ignota: non è chiaro se c'entri una vulnerabilità di prodotto
• I partner devono rivedere tenant, credenziali app, ruoli e log dal 13 ottobre

Sabato 18 ottobre 2026 ConnectWise ha comunicato di aver disattivato sette identità applicative aziendali. Indaga su un incidente in cui attori non identificati hanno ottenuto accesso non autorizzato a queste identità e compromesso tenant Microsoft 365. La misura è scattata il 17 ottobre alle 07:00 UTC. Il fornitore di software per la gestione IT ha anche sospeso il servizio Cloud Backup per tutti gli utenti, revocando i certificati usati per le connessioni delle applicazioni coinvolte.

Che cosa ha fatto ConnectWise

Le identità disabilitate riguardano Cloud Backup e diverse integrazioni di Cloud Management: MS Teams, Exchange Online, MS Graph, Partner Center e SharePoint Online. Per precauzione, l’azienda ha messo offline anche SaaS Security e Cloud Management durante la revisione.

ConnectWise precisa che disattivare le connessioni impedisce nuove autenticazioni, ma non annulla le modifiche già fatte dentro un tenant. Le credenziali condivise di Cloud Backup non sono più valide. I token di accesso già emessi potrebbero restare utilizzabili fino alla scadenza o all’invalidazione. I backup programmati non sono in esecuzione e il ripristino non è disponibile. Gli archivi esistenti, dice l’azienda, restano cifrati e isolati, senza evidenze di accesso da parte degli attaccanti.

Il problema è stato individuato il 14 ottobre 2026 tramite il monitoraggio interno. Non è chiaro se una vulnerabilità di prodotto abbia contribuito alla compromissione: il meccanismo di esposizione delle credenziali è ancora in analisi. ConnectWise non può osservare direttamente gli ambienti dei clienti e dunque non può stabilirne lo stato.

Perché l’attacco è delicato

Con le credenziali di un’applicazione, l’attaccante può chiedere a Microsoft Entra ID token di accesso in base ai permessi dell’app. Non serve rubare la password di ogni cliente. A seconda dei permessi, si possono raggiungere caselle di posta, documenti SharePoint, messaggi Teams e informazioni di directory.

Le app di ConnectWise hanno permessi estesi per backup e gestione. Con quelle credenziali l’attaccante può aggiungere l’app al ruolo Global Administrator, inserire client secret in altre applicazioni fidate del tenant o creare nuove app con permessi. I client secret garantiscono persistenza anche dopo la revoca della credenziale originale.

Le osservazioni di Huntress

Jon Semon, Principal Security Operations Analyst di Huntress, indica l’ultima attività dannosa dall’indirizzo originale il 15 ottobre alle 08:45 UTC. L’attività manuale e mirata è proseguita fino alle 14:20 circa. Huntress non ha rilevato nuova attività dopo quella data. Ritiene con alta confidenza che siano state prese di mira anche le app Cloud Management per Exchange Online, Teams e SharePoint. Ha confermato l’abuso dell’app Teams in un tenant. Queste app non risultano disabilitate da ConnectWise.

Huntress ha osservato una seconda ondata mirata dall’IP 144.172.64[.]128 il 15 ottobre, contro 16 tenant dei settori politica, sicurezza nazionale, commercio e minerali critici. I tentativi sono falliti. Nel complesso Huntress ha individuato quasi 1.000 tenant Entra con attività di accesso da quell’IP. In circa 300 i sign-in sono riusciti. In alcuni tenant l’assenza di un service principal ha impedito l’accesso effettivo.

Cosa fare

• Controllare il proprio tenant Microsoft 365 e quello di ogni cliente gestito, comprese le connessioni SkyKick dormienti.
• Verificare lo stato delle connessioni elencate e mantenere disabilitate le app coinvolte fino a nuovo avviso.
• Esaminare i sign-in dal 13 ottobre 2026 a oggi, in particolare quelli dall’IP indicato.
• Conservare i log di accesso e di audit prima del contenimento.
• Rivedere credenziali applicative, federation trust, ruoli di directory, owner, consensi e modifiche recenti alle policy.
• Cercare inoltro di posta non autorizzato, regole di inbox o di trasporto e deleghe alle caselle.

Huntress suggerisce anche misure Entra: application management policies per limitare i client secret e la loro durata, e meno titolari dei ruoli Application Administrator e Cloud Application Administrator. Conditional Access per workload identity (richiede licenze aggiuntive) limita da dove un’app può autenticarsi. Microsoft Entra ID Protection può segnalare service principal a rischio. Nessuna di queste misure sostituisce la revisione delle credenziali.

Indicatori di compromissione (IoC)

144.172.64[.]128

Fonte: The Hacker News · Foto: The Hacker News