ConnectWise Stop al Cloud Backup: credenziali-app rubate mettono a rischio i tenant Microsoft 365

ConnectWise ha sospeso temporaneamente il servizio Cloud Backup e ha disabilitato sette identità applicative dopo aver rilevato un incidente di sicurezza che ha portato alla compromissione di tenant Microsoft 365. Il problema nasce dall’accesso non autorizzato alle credenziali associate a identità di applicazioni ConnectWise usate per operazioni di gestione e backup nel cloud.

Tra le identità disabilitate figurano componenti legati a Cloud Backup e a Cloud Management con integrazioni per MS Teams, Exchange Online, Microsoft Graph, Partner Center e SharePoint Online.

La misura è stata attivata il 17 ottobre 2026 e include la revoca dei certificati utilizzati per le connessioni applicative interessate. Questo blocca nuove autenticazioni tramite quelle connessioni ma non annulla eventuali modifiche già eseguite all’interno dei tenant. In pratica, eventuali token di accesso già emessi potrebbero restare validi fino alla loro scadenza e qualsiasi permesso o credenziale aggiuntiva introdotta dagli attaccanti richiede verifiche e bonifica dedicate.

Un aspetto critico riguarda l’operatività del backup. Le copie pianificate non risultano in esecuzione e l’accesso agli archivi e alle funzioni di ripristino rimane non disponibile. Allo stesso tempo viene indicato che gli archivi esistenti restano cifrati, isolati e preservati e non emergono evidenze di accesso o violazione dei dati di backup.

L’attacco è particolarmente pericoloso perché sfrutta credenziali di applicazione invece delle password dei singoli utenti. Usando la credenziale rubata, gli attaccanti possono autenticarsi come applicazione e richiedere token a Microsoft Entra ID in base ai permessi già concessi. Se i privilegi sono ampi possono derivarne accessi a posta elettronica, documenti SharePoint, messaggi Teams e informazioni di directory. Inoltre un aggressore potrebbe tentare di aumentare la persistenza aggiungendo segreti client ad altre applicazioni fidate, creando nuove app e assegnando permessi o ruoli elevati.

Per ridurre il rischio in scenari simili è fondamentale controllare i log di accesso e audit dal 13 ottobre 2026 in poi con attenzione a IP sospetti, verificare connessioni applicative anche inattive, mantenere disabilitate le integrazioni impattate e preservare le evidenze prima di azioni di contenimento. Utile anche rivedere ruoli di amministrazione, consensi e modifiche recenti a policy e regole di posta come inoltri e regole di trasporto.