ConnectWise Suspende Cloud Backup Após Ataque M365

Atacantes obtiveram acesso a 7 identidades de aplicação; empresa revoga certificados de todos os usuários

A ConnectWise, fornecedora de software de gestão de TI, informou neste domingo (18) que desativou sete identidades de aplicação (application identities) no Microsoft 365 após descobrir que atores de ameaça desconhecidos obtiveram acesso não autorizado a esses identidades e comprometeram tenants do Microsoft 365, segundo a The Hacker News.

O que a empresa fez

Em comunicado, a ConnectWise disse que tomou a medida em 17 de outubro de 2026, às 07h00 UTC, e que também suspendeu temporariamente o serviço de Cloud Backup, revogando os certificados usados para conexões afetas em todos os usuários. “A desativação das conexões afetas impede nova autenticação por essas conexões, mas não reverte alterações anteriormente realizadas dentro de um tenant”, afirmou a empresa, segundo a cobertura.

As sete identidades desativadas incluem a identidade do Cloud Backup, do Cloud Management e de integrações com MS Teams, Exchange Online, Microsoft Graph, Partner Center e SharePoint Online. A empresa revelou que identificou a situação em 14 de outubro, por meio do que descreveu como “monitoramento avançado de segurança cibernética e diligência”, e que ativou ações internas e externas de investigação e resposta de incidentes.

Pontos ainda em aberto

Nesta fase, não é claro se uma vulnerabilidade de produto contribuiu para o comprometimento das identidades de aplicação. O mecanismo exato de exposição de credenciais é objeto de análise em andamento, acrescentou a ConnectWise. A empresa disse que, “por precaução”, levou SaaS Security e Cloud Management temporariamente offline enquanto conclui a revisão do incidente.

Já foram divulgados dois endereços de IP associados à atividade, identificados por meio de monitoramento de segurança indireto em ambientes de parceiros e clientes: 144.172.64[.]99 e 144.172.64[.]60. Desde a implementação das mitigações, a ConnectWise afirmou não ter observado atividade de ameaça bem-sucedida nos ambientes monitorados, de acordo com a The Hacker News.

Para equipes de TI brasileiras que usam conectados a parceiros de ConnectWise, a recomendação padrão em casos assim é auditar aplicativos registrados nos tenants do Microsoft 365, revisar atribuições de permissões e verificar logins de apps suspeitos — práticas de higiene de identidade que reduzem o risco mesmo quando o incidente ocorre em um provedor de terceiros.

Fonte: The Hacker News