Para: administradores do Microsoft 365, MSPs que usaram o ConnectWise Cloud Backup, o Cloud Management ou o SaaS Security (antes SkyKick) e empresas cujo provedor de TI os usou. Este artigo se baseia no aviso da ConnectWise e na publicação de pesquisa da Microsoft, e não trata de técnicas de ataque.
Em andamento: este artigo será atualizado conforme a organização publicar mais informações
Em 30 de outubro de 2026Ainda não se sabe
- Como as credenciais dos aplicativos foram obtidas inicialmente
- Número de tenants realmente comprometidos
- Se dados de algum cliente foram acessados ou copiados
- Quando a restauração do Cloud Backup será concluída
O aviso da ConnectWise foi atualizado pela última vez em 29 de outubro de 2026 (20h45 UTC). Ele diz que a restauração em fases dos backups do Microsoft 365 começou em 28 de outubro por meio de um novo aplicativo, «ConnectWise Cloud Backup for M365», e que os parceiros não devem reativar aplicativos desativados anteriormente, a menos que a ConnectWise instrua.
O que os administradores do Microsoft 365 devem verificar hoje
Encontre os aplicativos por ID, no seu tenant e em todos os tenants de clientes que você gerencia
No Entra ID, abra Aplicativos empresariais e Registros de aplicativo e pesquise pelo ID do aplicativo em vez do nome. O aviso da ConnectWise lista as sete identidades de aplicativo que ela desativou (Cloud Backup, Cloud Management e cinco integrações do Cloud Management) e diz que instalações antigas podem aparecer com nomes da SkyKick. O ID do aplicativo Cloud Backup publicado pela ConnectWise é 506e08f9-6e9a-4da4-942b-a099a03644ae; pegue a lista completa no próprio aviso.
Inclua instalações passadas. Um aplicativo que você deixou de usar há anos ainda pode estar presente no tenant.
Desative, não exclua, e guarde as evidências
Tanto a ConnectWise quanto a Microsoft dizem para manter as conexões afetadas desativadas até que a ConnectWise emita instruções de restauração, e a Microsoft desaconselha excluir aplicativos empresariais como primeiro passo. Excluir apaga o consentimento e a trilha de auditoria de que você precisa para ver o que o aplicativo fez. Salve os logs de login e de auditoria do Entra, os registros de auditoria do Purview e os dados do SIEM antes de mudar qualquer coisa.
Revise os logins das entidades de serviço
Veja os logins desses aplicativos, os bem-sucedidos e os que falharam separadamente, a partir de pelo menos 15 de outubro e, idealmente, de 1.º de outubro. Não limite a revisão aos endereços IP que a ConnectWise publicou: a Microsoft diz para não fazer isso, e o próprio guia da ConnectWise diz para não restringir a busca ao IP publicado. O tráfego normal do aplicativo da ConnectWise vem de faixas do Azure, então logins bem-sucedidos de outros lugares merecem uma olhada mais atenta.
Verifique o que mudou dentro do tenant
Desativar um aplicativo não desfaz alterações já feitas. Revise, para o período acima:
- novos segredos de cliente ou certificados em qualquer aplicativo, especialmente ferramentas de gerenciamento e segurança, que você não adicionou
- novas entidades de serviço, novos proprietários, funções de aplicativo e concessões de consentimento
- atribuições de funções de diretório, em particular qualquer aplicativo que tenha recebido uma função privilegiada
- alterações em grupos e em políticas ou exclusões de Acesso Condicional
A Microsoft observa que essas alterações podem servir de caminho de volta depois que o aplicativo original é desativado.
Verifique a atividade de e-mail e de arquivos
No log de auditoria do Purview, procure novas regras de caixa de entrada, encaminhamento para endereços externos, regras que ocultam ou excluem mensagens, novas permissões de Acesso Total ou Enviar Como e alterações em regras de transporte. Valide cada uma com as alterações que sua equipe aprovou. A autenticação de um aplicativo, por si só, não mostra que dados foram copiados, e um registro que não estava ativado antes não pode ser recuperado agora.
Escale rapidamente e pergunte ao seu provedor
Se encontrar credenciais inesperadas, atribuições privilegiadas ou atividade bem-sucedida suspeita, acione seu provedor de resposta a incidentes. A ConnectWise pede aos parceiros que relatem os achados ao endereço de suporte de segurança para parceiros indicado no aviso, sem incluir senhas, chaves ou tokens. Se um MSP gerencia seu tenant, pergunte quais desses aplicativos ele usou, quando, e o que ele verificou.
O que aconteceu (segundo a ConnectWise e a Microsoft)
15 de outubro de 2026
Uma empresa de segurança que investigou o incidente viu a principal rajada de logins não autorizados com a credencial de aplicativo do fornecedor (segundo o relatório dessa empresa).16 de outubro
A ConnectWise publicou seu aviso pela primeira vez. A empresa de segurança relatou logins não autorizados em 162 tenants às 19h UTC.17 de outubro
A ConnectWise desativou sete identidades de aplicativo e suspendeu o Cloud Backup ao revogar os certificados que suas conexões usavam. Ela também diz que suspendeu o SaaS Security e o Cloud Management por precaução (o aviso não informa o horário dessa etapa), então os backups agendados não estão sendo executados. A empresa de segurança relatou depois quase 1.000 tenants com atividade de login da mesma origem, mais de 300 deles bem-sucedidos.19 de outubro
A ConnectWise concluiu uma redefinição completa de todas as contas e credenciais do ambiente afetado do Cloud Backup.21 de outubro
A Microsoft publicou sua pesquisa. A ConnectWise atualizou o aviso para dizer que, com base em suas evidências e na inteligência de ameaças da Microsoft, um grupo da China alinhado ao Estado parece ter sido o responsável.28 de outubro
Começou a restauração em fases dos backups do Microsoft 365, por meio de um novo aplicativo que os parceiros precisam reautorizar em cada tenant.29 de outubro
Última atualização do aviso. A restauração continua; a ConnectWise repete que os aplicativos desativados devem continuar desativados, a menos que ela diga o contrário.
- Serviço
- Cloud Backup (antes SkyKick), um serviço de backup do Microsoft 365 vendido por meio de MSPs. O Cloud Management e o SaaS Security foram suspensos por precaução porque se conectam a ele
- Arquivos de backup
- ConnectWise: os arquivos existentes continuam criptografados e isolados, sem indício de comprometimento
- Tenants de clientes
- ConnectWise: as conclusões não estabelecem se ambientes do Microsoft 365 de parceiros ou clientes foram afetados. Microsoft: um aplicativo afetado ou um login bem-sucedido não significa necessariamente que dados foram acessados
- Atribuição
- ConnectWise, citando a inteligência de ameaças da Microsoft: um grupo da China alinhado ao Estado parece ser o responsável. A Microsoft avalia o mesmo
- Sistemas da Microsoft
- A Microsoft diz que a atividade não resultou de um comprometimento nem de uma vulnerabilidade em seus próprios sistemas, produtos ou serviços
- Outros produtos da ConnectWise
- A ConnectWise não tem indício de que produtos além dos três serviços suspensos tenham sido afetados
O aspecto da IA, em palavras simples
A Microsoft diz que o grupo usou o ARTEX, uma ferramenta de código aberto formada por vários agentes de IA que cooperam. Ela funciona com qualquer modelo de IA e consegue executar sozinha um teste de segurança, do mapeamento do alvo à leitura de dados, com pouca participação humana. A Microsoft observa que reportagens públicas em outubro também ligaram a mesma ferramenta a invasões em instituições financeiras coreanas (veja nosso artigo sobre essas invasões) e que atores de várias regiões a usam.
O que a Microsoft descreve é o mesmo conjunto de fraquezas de antes, usado muito mais rápido. A Microsoft diz que, depois do uso indevido da credencial do fornecedor, a ferramenta foi usada para tentar logins em mais de 2.250 tenants e, onde houve acesso, para percorrer as configurações de diretório e de aplicativos. A Microsoft não informa uma taxa por minuto dessas tentativas. Separadamente, ela descreve adivinhação de senhas de 10 a 14 de outubro contra 327 contas em oito organizações que produziu mais de 151.000 logins malsucedidos, com pico de 2.900 falhas por minuto em 11 de outubro, sem nenhum login bem-sucedido nessa atividade. Para quem defende, o efeito prático é um tempo menor entre o primeiro contato e o acesso privilegiado, então alertar sobre credenciais novas e mudanças de função importa mais do que revisar logs uma semana depois. Para um panorama mais amplo de invasões conduzidas por IA, veja o artigo sobre a invasão à Hugging Face.
Uso indevido de credenciais de aplicativos do fornecedor
↓→
O aplicativo ainda existe no seu tenant, com qualquer nome?
→ Procure pelo ID do aplicativo, inclusive instalações antigas
Os aplicativos receberam funções e novos segredos (Microsoft, empresa de segurança)
↓→
Algum aplicativo tem uma credencial ou função que você não adicionou?
→ Revise credenciais e funções de diretório em todos os aplicativos
Acesso alcançado em menos de três horas (Microsoft)
↓→
Você saberia de uma credencial nova hoje, e não na semana que vem?
→ Alerte sobre novos segredos e mudanças de função
O que se sabe e o que não se sabe
Situação em 30 de outubro de 2026. Atualizaremos a coluna de situação conforme a ConnectWise e a Microsoft publicarem mais.
| Item | O que as organizações dizem | Situação |
|---|---|---|
| Acesso não autorizado a credenciais de aplicativos do Cloud Backup | Aviso da ConnectWise, publicado pela primeira vez em 16 de outubro | Confirmado (ConnectWise) |
| Sete identidades de aplicativo desativadas, certificados revogados | 17 de outubro | Confirmado (ConnectWise) |
| Todas as contas e credenciais do ambiente afetado redefinidas | 19 de outubro | Confirmado (ConnectWise) |
| Acesso aos arquivos de backup | Sem indício de comprometimento | Não encontrado (ConnectWise) |
| Tenants do Microsoft 365 de clientes afetados | As conclusões não estabelecem se foram | Sob investigação |
| Tenants visados por tentativas de login conduzidas por IA | Mais de 2.250 | Confirmado (Microsoft); tentativas, não comprometimentos |
| Tenants com logins não autorizados | 162 em 16 de outubro; mais de 300 logins bem-sucedidos da mesma origem depois | Relatado (empresa de segurança) |
| Acesso privilegiado obtido | Em muitas organizações, número não informado; alguns em até três horas | Confirmado (Microsoft) |
| Dados copiados de algum tenant | Não informado; a Microsoft alerta que o login por si só não mostra isso | Não divulgado |
| Como as credenciais foram obtidas inicialmente | Não informado | Sob investigação |
| Responsável | Grupo alinhado a um Estado | Avaliação (ConnectWise, Microsoft) |
| Restauração | Em fases desde 28 de outubro, novo aplicativo, requer reautorização | Em andamento |
Como ler os números: três contagens, três significados
2.250 são os tenants visados. 162 são os tenants em que logins não autorizados foram confirmados em um dia. «Mais de 300» são os logins bem-sucedidos da mesma origem em um conjunto mais amplo. Nenhum deles é uma contagem de roubo de dados, e nenhum é um total de vítimas.
Por que um aplicativo de backup pode importar para muitas empresas
Um aplicativo multi-tenant funciona com um único conjunto de credenciais que todos os tenants de clientes aprovaram. Quem tiver essas credenciais pode tentar entrar como o aplicativo em todos esses tenants de uma vez. Ferramentas de backup costumam ter amplas permissões de leitura, o que as torna úteis e também explica por que merecem uma revisão cuidadosa de permissões. É o mesmo formato de incidentes anteriores em que a porta de entrada foi uma conexão de um fornecedor confiável, e não a equipe do próprio cliente. Veja Vazamentos de dados e ciberataques em 2026 para casos relacionados.
Para administradores e MSPs: revisar aplicativos com acesso amplo
Esta seção contém recomendações gerais deste site, não da ConnectWise nem da Microsoft. Alguns pontos, como limitar os direitos de Administrador de Aplicativos, exclusões de Acesso Condicional, proteção de identidades de carga de trabalho e MFA, vão além do que as duas organizações publicaram. Não é uma avaliação de como as credenciais foram obtidas, o que não foi divulgado.
- Liste todos os aplicativos de terceiros com permissões de diretório ou de e-mail, registre quem é o responsável e por que existem, e remova os que ninguém saiba explicar
- Limite quem tem a função de Administrador de Aplicativos, porque essa função pode adicionar credenciais a aplicativos
- Alerte sobre novos segredos de cliente ou certificados, e sobre qualquer aplicativo que receba uma função de diretório
- Revise as exclusões de Acesso Condicional que permitem a um aplicativo contornar bloqueios por localização
- Exija autenticação multifator para as pessoas e use proteções de identidade de carga de trabalho para os aplicativos, já que logins de aplicativos não usam MFA
- Conheça seu último ponto de backup válido. Com o Cloud Backup suspenso, verifique quanto tempo dura sua lacuna de proteção e veja o essencial de backup e recuperação para ter uma segunda cópia sob seu controle
Fontes (registros públicos)
- ConnectWise, «Cloud Backup (formerly SkyKick) Security Advisory, October 2026» (publicado pela primeira vez em 16 de outubro; última atualização em 29 de outubro de 2026) — connectwise.com
- Microsoft Threat Intelligence, «AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise» (21 de outubro de 2026) — microsoft.com
- Relatório de investigação de uma empresa de segurança sobre os logins não autorizados com a credencial do fornecedor (atualizado até 27 de outubro de 2026) — huntress.com
Histórico de atualizações
2026-10-30: Primeira versão, com base no aviso da ConnectWise atualizado em 29 de outubro e na publicação de pesquisa da Microsoft de 21 de outubro. Atualizaremos este artigo quando qualquer uma das duas publicar mais.
Leia em seguida
- A mesma ferramenta, outras vítimas: Invasões em 7 instituições financeiras coreanas
- Invasão conduzida por IA: A invasão à Hugging Face e os agentes de IA autônomos
- Defesas: Guia de autenticação multifator / O essencial de backup e recuperação
- Outros incidentes de 2026: Vazamentos de dados e ciberataques de 2026