Um ataque cibernético envolvendo a ConnectWise levou à suspensão temporária de serviços de backup na nuvem e de ferramentas de gerenciamento SaaS após a identificação de atividades suspeitas em ambientes do Microsoft 365. O incidente envolve o abuso de identidades de aplicativos utilizadas para acessar recursos corporativos, colocando em alerta administradores de sistemas, provedores de serviços gerenciados (MSPs) e equipes de segurança da informação.
A investigação identificou o uso de credenciais de aplicativos para obter tokens de acesso do Microsoft Entra ID, permitindo que invasores tentassem acessar recursos de clientes sem precisar roubar as senhas de usuários individuais. A empresa de segurança Huntress identificou atividades suspeitas em diversos tenants, incluindo autenticações originadas do endereço IP 144.172.64.128 e alterações em privilégios de aplicativos.
O caso evidencia os riscos de um ataque à cadeia de suprimentos, no qual o comprometimento de um fornecedor pode afetar várias organizações que dependem de suas ferramentas. Neste artigo, você entenderá como o ataque ocorreu, quais identidades de aplicativos foram desativadas, o que a Huntress descobriu e quais medidas os administradores devem adotar para investigar seus ambientes e reduzir os riscos.
Como ocorreu o ataque às identidades de aplicativos da ConnectWise
A ConnectWise identificou acessos não autorizados relacionados às identidades de aplicativos utilizadas por seus serviços de gerenciamento e backup. Como medida de contenção, a empresa desativou sete identidades de aplicativos em 17 de outubro de 2026, revogou certificados associados às conexões afetadas e invalidou credenciais compartilhadas.
A companhia também suspendeu temporariamente o ConnectWise Cloud Backup, interrompendo backups agendados e operações de restauração. Os serviços SaaS Security e Cloud Management foram igualmente afetados pela suspensão preventiva.
Em uma atualização publicada em 18 de outubro, a empresa informou que os arquivos de backup existentes permaneciam criptografados e isolados, sem evidências de acesso não autorizado a esses arquivos. Isso, entretanto, não significa que todos os ambientes Microsoft 365 dos clientes estejam livres de comprometimento. A investigação precisa considerar individualmente as autenticações e as alterações realizadas em cada tenant.
O perigo da movimentação lateral por meio de OAuth
Integrações corporativas utilizam o OAuth 2.0 e o Microsoft Entra ID para obter autorização de acesso a recursos, como caixas de correio, documentos e dados de diretórios. Dependendo das permissões concedidas, uma aplicação pode realizar operações sem exigir que um usuário digite sua senha a cada conexão.
Quando credenciais de um aplicativo são comprometidas, invasores podem tentar utilizá-las para solicitar tokens de acesso e executar operações dentro dos privilégios concedidos à aplicação legítima.
Esse mecanismo ajuda a explicar a gravidade do incidente: o comprometimento de uma identidade de aplicativo pode permitir acesso a recursos corporativos sem o roubo de senhas de usuários. Dependendo das permissões disponíveis, os alvos podem incluir Exchange Online, SharePoint, Teams e outros serviços integrados ao Microsoft 365.
O risco aumenta quando a identidade comprometida possui privilégios administrativos ou consegue modificar outras aplicações. A inclusão de novos segredos de cliente, por exemplo, pode criar credenciais adicionais para manter o acesso mesmo depois que a integração original for desativada.
Esse tipo de atividade caracteriza um risco de ataque à cadeia de suprimentos de software. Em vez de invadir diretamente cada organização, o invasor explora a confiança depositada em uma ferramenta utilizada por vários clientes.
As sete identidades de aplicativos desativadas
A ConnectWise informou ter desativado sete identidades de aplicativos relacionadas aos serviços afetados. Os identificadores a seguir permitem que administradores procurem as integrações correspondentes em seus ambientes.
- ConnectWise Cloud Backup:
506e08f9-6e9a-4da4-942b-a099a03644ae - ConnectWise Cloud Management:
2399d300-6fca-4e6a-a686-399fefe75b83 - Cloud Management – MS Teams:
24205314-2b89-4e07-a2a4-579e898a5640 - Cloud Management – Exchange Online:
b78f6a77-d4e5-46fb-87e5-d1648bd02519 - Cloud Management – MS Graph:
0de14c77-b9b0-4137-9360-34878a929827 - Cloud Management – Partner Center:
412dcf96-176d-4b3a-a1b0-4981ad66971e - Cloud Management – SharePoint Online:
b2b55f5b-7758-4719-8d8f-88ae172e6bdb
A desativação realizada pela ConnectWise não garante que todas as integrações correspondentes tenham sido desabilitadas nos tenants dos clientes. Por isso, os administradores devem verificar os registros e o estado de cada aplicativo empresarial.
Sempre que possível, preserve as evidências antes de remover configurações suspeitas. Excluir imediatamente uma identidade pode dificultar a análise posterior e a identificação de alterações realizadas durante o ataque.
O que a Huntress descobriu durante a investigação
A empresa de segurança Huntress identificou atividades suspeitas que antecederam a suspensão dos serviços. Entre 13 e 14 de outubro, o endereço IP 144.172.64.128 foi associado a tentativas automatizadas de adivinhação de senhas, conhecidas como password spraying, contra quatro tenants de escritórios de advocacia. Na telemetria analisada para essa atividade, a Huntress não observou autenticações de usuários bem-sucedidas provenientes desse endereço.
Em 15 de outubro, os investigadores identificaram uma atividade mais preocupante: identidades de aplicativos associadas ao ConnectWise Cloud Management atribuíram funções de diretório a si mesmas em aproximadamente 50 tenants monitorados. Entre os privilégios observados estava a função Exchange Administrator.
Em um dos casos analisados, o aplicativo Cloud Management – MS Teams atribuiu a si mesmo a função Global Administrator e realizou nove alterações em outros dois aplicativos. Seis operações foram bem-sucedidas, incluindo a adição de novos segredos de cliente.
Essas credenciais adicionais são relevantes porque podem permitir que um aplicativo continue autenticando mesmo após mudanças na configuração da integração original.
Entre 06h13 e 08h34 UTC de 15 de outubro, a Huntress também observou o aplicativo ConnectWise Cloud Backup autenticando-se em ambientes de clientes e obtendo tokens do Microsoft Graph a partir do endereço IP suspeito. A sequência de autenticações em diferentes tenants indicava uma operação automatizada.
Uma segunda onda de atividade atingiu 16 tenants relacionados aos setores de políticas públicas, segurança nacional, comércio e minerais críticos. Os investigadores observaram tentativas de acesso a serviços como Exchange Online, SharePoint Online, Teams, Entra ID e interfaces de gerenciamento do Microsoft 365.
Em 17 de outubro, a Huntress informou ter identificado autenticações originadas do IP suspeito em quase 1.000 tenants, com mais de 300 autenticações bem-sucedidas. Esses números indicam a dimensão da atividade observada, mas não significam que todos os ambientes tenham sofrido extração de dados.
A investigação também apontou limitações na disponibilidade de registros para determinadas operações do Microsoft Graph. Portanto, a ausência de eventos que comprovem a leitura de arquivos ou mensagens não é suficiente, isoladamente, para descartar um possível acesso indevido.
Como proteger ambientes Microsoft 365 após o ataque
Administradores de sistemas e equipes de SecOps devem investigar possíveis alterações nas identidades de aplicativos, além de verificar os acessos realizados durante o período suspeito.
1. Audite os registros de autenticação
No centro de administração do Microsoft Entra, consulte os registros de entrada de entidades de serviço, conhecidos como service principal sign-ins.
Pesquise o ID do aplicativo 506e08f9-6e9a-4da4-942b-a099a03644ae e o endereço IP 144.172.64.128. A ConnectWise também divulgou os endereços 144.172.64.99 e 144.172.64.60 em sua atualização de 18 de outubro.
Analise autenticações bem-sucedidas e malsucedidas, horários, recursos acessados e origens das conexões. Não limite a investigação aos registros de entrada de usuários, pois as autenticações realizadas por aplicativos são registradas separadamente.
2. Revise os privilégios administrativos
Consulte os registros de auditoria do diretório para identificar atribuições inesperadas de funções como Global Administrator, Exchange Administrator, Application Administrator e Cloud Application Administrator.
Verifique se os aplicativos receberam privilégios administrativos sem justificativa e se houve alterações em usuários, grupos ou outras identidades de serviço.
3. Procure novas credenciais em aplicativos
Investigue a criação de segredos e certificados, alterações de proprietários, concessões de permissões e modificações em aplicativos empresariais.
Dê atenção especial aos eventos de inclusão de credenciais e atribuição de funções a entidades de serviço. Se encontrar alterações desconhecidas, preserve as evidências e remova os mecanismos de acesso indevido seguindo o procedimento de resposta a incidentes da organização.
4. Examine permissões e consentimentos OAuth
Revise as permissões concedidas aos aplicativos empresariais, os responsáveis por sua administração e os consentimentos registrados recentemente.
Procure concessões inesperadas, privilégios excessivos e aplicativos desconhecidos. Verifique também alterações nas políticas de Acesso Condicional, especialmente exclusões ou exceções adicionadas durante o período investigado.
5. Verifique regras de encaminhamento de e-mails
No Exchange Online, procure regras de caixa de entrada suspeitas, encaminhamentos para endereços externos e permissões de acesso delegado.
Essas alterações podem permitir a cópia de mensagens ou o acesso persistente a informações corporativas. Correlacione os eventos com os horários das autenticações e das alterações de privilégios.
6. Preserve evidências e avalie os backups
Exporte os registros disponíveis do Entra ID e do Microsoft Purview, além dos eventos armazenados no SIEM e em outras ferramentas de monitoramento. Como a retenção varia conforme a licença e a configuração, priorize a coleta dos dados relevantes.
Verifique o último ponto de recuperação disponível e avalie o impacto da suspensão dos backups. Não reative integrações comprometidas antes de confirmar que as credenciais foram substituídas e que a ConnectWise autorizou o retorno dos serviços.
Desabilitar a aplicação original não elimina automaticamente as credenciais e permissões que um invasor possa ter criado em outros aplicativos. A investigação precisa abranger todo o ambiente afetado.
O que o incidente da ConnectWise ensina sobre segurança SaaS
O ataque demonstra que a segurança de ambientes SaaS depende também da proteção das identidades de carga de trabalho, utilizadas por aplicações, serviços automatizados e integrações corporativas.
Para os MSPs, o risco é particularmente significativo: uma ferramenta legítima pode possuir permissões em dezenas ou centenas de ambientes de clientes. O comprometimento de uma credencial pode ampliar a superfície de ataque e transformar uma integração confiável em um vetor de invasão.
A adoção do princípio do menor privilégio, a revisão periódica das permissões OAuth e o monitoramento das autenticações de aplicativos são medidas fundamentais para reduzir essa exposição. Também é necessário manter registros de auditoria adequados e garantir que os procedimentos de recuperação continuem disponíveis durante incidentes que afetem os próprios fornecedores de backup.
Enquanto a investigação prossegue, administradores devem examinar seus ambientes Microsoft 365, verificar as identidades de aplicativos e procurar alterações administrativas suspeitas.
