Para: administradores de Microsoft 365, MSP que usaron ConnectWise Cloud Backup, Cloud Management o SaaS Security (antes SkyKick) y empresas cuyo proveedor de TI lo hizo. Este artículo se basa en el aviso de ConnectWise y en la publicación de investigación de Microsoft, y no trata técnicas de ataque.
En desarrollo: este artículo se actualizará a medida que la organización publique más información
A fecha del 30 de octubre de 2026Aún no se sabe
- Cómo se obtuvieron por primera vez las credenciales de las aplicaciones
- Número de inquilinos realmente comprometidos
- Si se accedió a datos de algún cliente o se copiaron
- Cuándo se completará la restauración de Cloud Backup
El aviso de ConnectWise se actualizó por última vez el 29 de octubre de 2026 (20:45 UTC). Indica que el 28 de octubre empezó la restauración por fases de las copias de seguridad de Microsoft 365 mediante una nueva aplicación, «ConnectWise Cloud Backup for M365», y que los socios no deben volver a activar las aplicaciones desactivadas anteriormente salvo que ConnectWise lo indique.
Qué deben comprobar hoy los administradores de Microsoft 365
Encuentre las aplicaciones por ID, en su propio inquilino y en todos los inquilinos de clientes que gestione
En Entra ID, abra Aplicaciones empresariales y Registros de aplicaciones y busque por ID de aplicación en lugar de por nombre. El aviso de ConnectWise enumera las siete identidades de aplicación que desactivó (Cloud Backup, Cloud Management y cinco integraciones de Cloud Management) e indica que las instalaciones antiguas pueden aparecer con nombres de SkyKick. El ID de aplicación de Cloud Backup publicado por ConnectWise es 506e08f9-6e9a-4da4-942b-a099a03644ae; tome la lista completa del propio aviso.
Incluya las instalaciones pasadas. Una aplicación que dejó de usar hace años puede seguir presente en el inquilino.
Desactive, no elimine, y conserve las pruebas
Tanto ConnectWise como Microsoft dicen que se deben mantener desactivadas las conexiones afectadas hasta que ConnectWise dé instrucciones de restauración, y Microsoft desaconseja eliminar aplicaciones empresariales como primer paso. Eliminar borra el consentimiento y el rastro de auditoría que necesita para ver qué hizo la aplicación. Guarde los registros de inicio de sesión y de auditoría de Entra, los registros de auditoría de Purview y los datos del SIEM antes de cambiar nada.
Revise los inicios de sesión de las entidades de servicio
Mire los inicios de sesión de estas aplicaciones, los correctos y los fallidos por separado, desde al menos el 15 de octubre y, idealmente, desde el 1 de octubre. No limite la revisión a las direcciones IP que publicó ConnectWise: Microsoft dice que no se haga, y la propia guía de ConnectWise dice que no se restrinja la búsqueda a la IP publicada. El tráfico normal de la aplicación de ConnectWise procede de rangos de Azure, por lo que los inicios de sesión correctos desde otros lugares merecen una mirada más atenta.
Compruebe qué cambió dentro del inquilino
Desactivar una aplicación no deshace los cambios ya hechos. Revise, para el periodo indicado:
- secretos de cliente o certificados nuevos en cualquier aplicación, en especial herramientas de gestión y seguridad, que usted no añadió
- nuevas entidades de servicio, nuevos propietarios, roles de aplicación y consentimientos concedidos
- asignaciones de roles de directorio, en particular cualquier aplicación a la que se diera un rol privilegiado
- cambios en grupos y en directivas o exclusiones de acceso condicional
Microsoft señala que esos cambios pueden servir de vía de regreso después de desactivar la aplicación original.
Revise la actividad de correo y de archivos
En el registro de auditoría de Purview, busque reglas de bandeja de entrada nuevas, reenvíos a direcciones externas, reglas que ocultan o eliminan mensajes, nuevos permisos de Acceso total o Enviar como y cambios en reglas de transporte. Valide cada una con los cambios que aprobó su equipo. Que una aplicación se autentique no demuestra por sí solo que se copiaran datos, y un registro que no estaba activado antes no puede recuperarse ahora.
Escale con rapidez y pregunte a su proveedor
Si encuentra credenciales inesperadas, asignaciones privilegiadas o actividad correcta sospechosa, avise a su proveedor de respuesta a incidentes. ConnectWise pide a los socios que comuniquen sus hallazgos a la dirección de soporte de seguridad para socios indicada en el aviso, sin incluir contraseñas, claves ni tokens. Si un MSP gestiona su inquilino, pregúntele cuáles de estas aplicaciones usó, cuándo y qué ha comprobado.
Qué pasó (según ConnectWise y Microsoft)
15 de octubre de 2026
Una empresa de seguridad que investigó el incidente vio la mayor ráfaga de inicios de sesión no autorizados con la credencial de aplicación del proveedor (según el informe de esa empresa).16 de octubre
ConnectWise publicó por primera vez su aviso. La empresa de seguridad informó de inicios de sesión no autorizados en 162 inquilinos a las 19:00 UTC.17 de octubre
ConnectWise desactivó siete identidades de aplicación y suspendió Cloud Backup al revocar los certificados que usaban sus conexiones. También dice que suspendió SaaS Security y Cloud Management por precaución (el aviso no indica la hora de ese paso), por lo que las copias programadas no se están ejecutando. La empresa de seguridad informó después de casi 1.000 inquilinos con actividad de inicio de sesión desde el mismo origen, más de 300 de ellos con éxito.19 de octubre
ConnectWise completó un restablecimiento total de todas las cuentas y credenciales del entorno afectado de Cloud Backup.21 de octubre
Microsoft publicó su investigación. ConnectWise actualizó su aviso para decir que, según sus pruebas y la inteligencia de amenazas de Microsoft, parece que fue responsable un grupo de China alineado con el Estado.28 de octubre
Comenzó la restauración por fases de las copias de seguridad de Microsoft 365, mediante una nueva aplicación que los socios deben reautorizar en cada inquilino.29 de octubre
Última actualización del aviso. La restauración continúa; ConnectWise repite que las aplicaciones desactivadas deben seguir desactivadas salvo que indique otra cosa.
- Servicio
- Cloud Backup (antes SkyKick), un servicio de copias de seguridad de Microsoft 365 que se vende a través de MSP. Cloud Management y SaaS Security se suspendieron por precaución porque se conectan a él
- Archivos de copia
- ConnectWise: los archivos existentes siguen cifrados y aislados, sin indicios de compromiso
- Inquilinos de clientes
- ConnectWise: las conclusiones no establecen si entornos de Microsoft 365 de socios o clientes se vieron afectados. Microsoft: una aplicación afectada o un inicio de sesión correcto no significan necesariamente que se accediera a datos
- Atribución
- ConnectWise, citando la inteligencia de amenazas de Microsoft: parece responsable un grupo de China alineado con el Estado. Microsoft lo valora igual
- Sistemas de Microsoft
- Microsoft dice que la actividad no fue consecuencia de un compromiso ni de una vulnerabilidad en sus propios sistemas, productos o servicios
- Otros productos de ConnectWise
- ConnectWise no tiene indicios de que resulten afectados productos distintos de los tres servicios suspendidos
El aspecto de la IA, en palabras sencillas
Microsoft dice que el grupo usó ARTEX, una herramienta de código abierto formada por varios agentes de IA que cooperan. Funciona con cualquier modelo de IA y puede llevar a cabo una prueba de seguridad por sí sola, desde el reconocimiento del objetivo hasta la lectura de datos, con poca intervención humana. Microsoft señala que la prensa también vinculó en octubre la misma herramienta con intrusiones en instituciones financieras coreanas (véase nuestro artículo sobre esas intrusiones) y que la usan actores de varias regiones.
Lo que describe Microsoft es el mismo conjunto de debilidades de siempre, usado mucho más deprisa. Microsoft dice que, tras el uso indebido de la credencial del proveedor, se usó la herramienta para intentar iniciar sesión en más de 2.250 inquilinos y, donde se logró acceso, para recorrer los ajustes del directorio y de las aplicaciones. Microsoft no da una frecuencia por minuto de esos intentos. Aparte, describe un ataque de adivinación de contraseñas del 10 al 14 de octubre contra 327 cuentas de ocho organizaciones que produjo más de 151.000 inicios de sesión fallidos, con un máximo de 2.900 fallos por minuto el 11 de octubre, sin ningún inicio de sesión correcto en esa actividad. Para los defensores, el efecto práctico es un menor tiempo entre el primer contacto y el acceso privilegiado, así que alertar sobre credenciales nuevas y cambios de rol importa más que revisar registros una semana después. Para una visión más amplia de las intrusiones dirigidas por IA, véase el artículo sobre la intrusión en Hugging Face.
Uso indebido de credenciales de aplicaciones del proveedor
↓→
¿Sigue existiendo la aplicación en su inquilino, con cualquier nombre?
→ Busque por ID de aplicación, incluidas las instalaciones antiguas
A las aplicaciones se les dieron roles y secretos nuevos (Microsoft, empresa de seguridad)
↓→
¿Tiene alguna aplicación una credencial o un rol que usted no añadió?
→ Revise credenciales y roles de directorio en todas las aplicaciones
Acceso logrado en menos de tres horas (Microsoft)
↓→
¿Se enteraría hoy de una credencial nueva, y no la semana que viene?
→ Alerte sobre secretos nuevos y cambios de rol
Qué se sabe y qué no
Estado a fecha del 30 de octubre de 2026. Actualizaremos la columna de estado a medida que ConnectWise y Microsoft publiquen más.
| Elemento | Qué dicen las organizaciones | Estado |
|---|---|---|
| Acceso no autorizado a credenciales de aplicaciones de Cloud Backup | Aviso de ConnectWise, publicado por primera vez el 16 de octubre | Confirmado (ConnectWise) |
| Siete identidades de aplicación desactivadas, certificados revocados | 17 de octubre | Confirmado (ConnectWise) |
| Restablecidas todas las cuentas y credenciales del entorno afectado | 19 de octubre | Confirmado (ConnectWise) |
| Acceso a los archivos de copia | Sin indicios de compromiso | No se encontró (ConnectWise) |
| Inquilinos de Microsoft 365 de clientes afectados | Las conclusiones no establecen si lo estuvieron | En investigación |
| Inquilinos objetivo de intentos de inicio de sesión dirigidos por IA | Más de 2.250 | Confirmado (Microsoft); intentos, no compromisos |
| Inquilinos con inicios de sesión no autorizados | 162 a fecha del 16 de octubre; más de 300 inicios de sesión correctos desde el mismo origen después | Informado (empresa de seguridad) |
| Acceso privilegiado logrado | En muchas organizaciones, sin cifra; algunos en menos de tres horas | Confirmado (Microsoft) |
| Datos copiados de algún inquilino | No consta; Microsoft advierte de que el inicio de sesión por sí solo no lo demuestra | No publicado |
| Cómo se obtuvieron por primera vez las credenciales | No consta | En investigación |
| Responsable | Grupo alineado con un Estado | Valoración (ConnectWise, Microsoft) |
| Restauración | Por fases desde el 28 de octubre, nueva aplicación, requiere reautorización | En curso |
Cómo leer las cifras: tres recuentos, tres significados
2.250 son los inquilinos que fueron objetivo. 162 son los inquilinos donde se confirmaron inicios de sesión no autorizados en un día. «Más de 300» son los inicios de sesión correctos desde el mismo origen en un conjunto más amplio. Ninguna es una cifra de robo de datos, y ninguna es un total de víctimas.
Por qué una aplicación de copias de seguridad puede importar a muchas empresas
Una aplicación multiinquilino funciona con un único conjunto de credenciales que todos los inquilinos de clientes han aprobado. Quien tenga esas credenciales puede intentar iniciar sesión como la aplicación en todos esos inquilinos a la vez. Las herramientas de copia de seguridad suelen tener amplios permisos de lectura, lo que las hace útiles y también explica por qué merecen una revisión cuidadosa de permisos. Es la misma forma que en incidentes anteriores en los que la vía de entrada fue una conexión de un proveedor de confianza y no el personal del cliente. Véase Filtraciones de datos y ciberataques en 2026 para casos relacionados.
Para administradores y MSP: revisar las aplicaciones con acceso amplio
Esta sección contiene recomendaciones generales de este sitio, no de ConnectWise ni de Microsoft. Algunos puntos, como limitar los derechos de Administrador de aplicaciones, las exclusiones de acceso condicional, la protección de identidades de carga de trabajo y la MFA, van más allá de lo que publicaron las dos organizaciones. No es una valoración de cómo se obtuvieron las credenciales, que no se ha revelado.
- Haga una lista de todas las aplicaciones de terceros con permisos de directorio o de correo, anote quién es su propietario y por qué existe, y elimine las que nadie sepa explicar
- Limite quién tiene el rol de Administrador de aplicaciones, porque ese rol puede añadir credenciales a las aplicaciones
- Alerte sobre secretos de cliente o certificados nuevos, y sobre cualquier aplicación a la que se asigne un rol de directorio
- Revise las exclusiones de acceso condicional que permiten a una aplicación saltarse los bloqueos por ubicación
- Exija autenticación multifactor a las personas y use protecciones de identidades de carga de trabajo para las aplicaciones, ya que los inicios de sesión de aplicaciones no usan MFA
- Conozca su último punto de copia válido. Con Cloud Backup suspendido, compruebe cuánto dura su brecha de protección, y consulte lo esencial de las copias de seguridad y la recuperación para tener una segunda copia bajo su control
Fuentes (registros públicos)
- ConnectWise, «Cloud Backup (formerly SkyKick) Security Advisory, October 2026» (publicado por primera vez el 16 de octubre; última actualización el 29 de octubre de 2026) — connectwise.com
- Microsoft Threat Intelligence, «AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise» (21 de octubre de 2026) — microsoft.com
- Informe de investigación de una empresa de seguridad sobre los inicios de sesión no autorizados con la credencial del proveedor (actualizado hasta el 27 de octubre de 2026) — huntress.com
Historial de actualizaciones
2026-10-30: Primera versión, basada en el aviso de ConnectWise actualizado el 29 de octubre y en la publicación de investigación de Microsoft del 21 de octubre. Actualizaremos este artículo cuando cualquiera de las dos publique más.
Lectura recomendada
- La misma herramienta, otras víctimas: Intrusiones en 7 instituciones financieras coreanas
- Intrusión dirigida por IA: La intrusión en Hugging Face y los agentes de IA autónomos
- Defensas: Guía de autenticación multifactor / Lo esencial de las copias de seguridad y la recuperación
- Otros incidentes de 2026: Filtraciones de datos y ciberataques de 2026