ConnectWise, una de las empresas de software más usadas por los proveedores de soporte de TI que administran las computadoras y el correo de otras empresas, suspendió su servicio ConnectWise Cloud Backup (antes llamado SkyKick) después de detectar que atacantes robaron una credencial de la aplicación y la usaron para entrar a cuentas empresariales de Microsoft 365, según la propia ConnectWise, la firma de seguridad Huntress y The Hacker News.
Qué pasó
- Para respaldar el correo, OneDrive, SharePoint y Teams de sus clientes, Cloud Backup se conecta a Microsoft 365 como una aplicación con permisos amplios. Los atacantes obtuvieron la llave secreta de esa aplicación.
- Con ella podían entrar como si fueran la aplicación, sin robar la contraseña de cada empresa. Huntress confirmó accesos no autorizados a cuentas de clientes y, en un caso, que una aplicación de ConnectWise se dio a sí misma permisos de Administrador Global y agregó credenciales nuevas a otras aplicaciones.
- ConnectWise dice que detectó el problema el 14 de octubre. El 17 de octubre desactivó siete aplicaciones (Cloud Backup y varias de Cloud Management para Exchange, Teams, SharePoint, Graph y Partner Center) y apagó el servicio de respaldos.
| Dato | Detalle |
|---|---|
| Cuentas de Microsoft 365 con intentos de acceso desde la IP del atacante | Casi 1,000, de las cuales unas 300 lograron iniciar sesión (Huntress, vía The Hacker News) |
| Respaldos programados | Detenidos hasta nuevo aviso |
| Archivos de respaldo existentes | Cifrados y sin evidencia de acceso, según ConnectWise; no se pueden restaurar por ahora |
| Dirección IP señalada | 144.172.64.128 |
Ojo: ConnectWise aclara que desactivar las aplicaciones “no revierte los cambios hechos dentro de una cuenta”. Si el atacante creó usuarios, permisos o llaves nuevas en tu Microsoft 365, siguen ahí hasta que alguien los revise y los quite.
¿Qué significa para México?
Muchas PyMEs mexicanas no administran su propio Microsoft 365: lo hace un proveedor de soporte externo, y estas herramientas son comunes entre esos proveedores. Si tu empresa usa Microsoft 365:
- Pregúntale a tu proveedor de TI si usa ConnectWise Cloud Backup, SkyKick o ConnectWise Cloud Management, y si ya revisó tu cuenta.
- Revisa (o pide revisar) en Microsoft Entra los inicios de sesión de aplicaciones desde el 13 de octubre, sobre todo desde la IP 144.172.64.128.
- Busca administradores, aplicaciones o llaves nuevas que nadie reconozca, y reglas de reenvío de correo extrañas.
- Si tus respaldos dependían de Cloud Backup, hoy no se están haciendo: considera un respaldo temporal por otro medio.
- Limita quién puede ser administrador de tu Microsoft 365 y revisa qué aplicaciones externas tienen permisos.
¿No sabes quién tiene acceso a tu Microsoft 365? En IOSoluciones lo revisamos contigo: Soporte Técnico, Planes o Contacto.
¿Necesitas ayuda para revisar o actualizar los equipos de tu negocio? En IOSoluciones te apoyamos con Soporte Técnico y Mantenimiento. Contáctanos.
Fuentes: ConnectWise, página de estado del incidente (16 y 17/10/2026), Huntress (octubre de 2026) y The Hacker News (18/10/2026), consultadas el 18/10/2026.