Credencial roubada de um fornecedor de backup abriu centenas de ambientes Microsoft 365: o ataque à ConnectWise e o risco do TI terceirizado

Muitas empresas não têm uma equipe de TI própria: contratam um provedor de serviços gerenciados — o MSP, no jargão — que cuida de e-mail, backup, licenças e computadores. Esse provedor, por sua vez, usa ferramentas de outros fornecedores, que recebem permissões dentro do Microsoft 365 de cada cliente. É uma cadeia longa. Na semana passada, um elo do meio se rompeu.

O que aconteceu

A ConnectWise, uma das maiores fornecedoras de software para MSPs, informou ter identificado “acesso não autorizado a identidades de aplicação” no ambiente do ConnectWise Cloud Backup — o serviço de backup de Microsoft 365 que antes se chamava SkyKick. Segundo a empresa de segurança Huntress, alguém obteve uma credencial — um segredo de API — do aplicativo de backup e passou a entrar nos ambientes dos clientes como se fosse o próprio aplicativo.

O detalhe importa: quem fez login não foi uma pessoa, foi um aplicativo que os clientes já tinham autorizado. Por isso, a autenticação em dois fatores não entrou em jogo — não havia ninguém para receber o código. A Microsoft Threat Intelligence classificou o caso como um ataque ativo à cadeia de suprimentos.

A madrugada de 15 de outubro

A Huntress, que acompanha milhares de ambientes gerenciados por MSPs, reconstruiu a sequência:

• A partir de 01:58 UTC de 15/10, aplicativos de gestão da ConnectWise passaram a se conceder papéis administrativos — principalmente o de administrador do Exchange — em cerca de 50 ambientes.
• Em um deles, um aplicativo se colocou como administrador global e plantou novas senhas de acesso (segredos) em outros dois aplicativos confiáveis, válidas até 2028 — uma porta dos fundos para voltar depois.
• Entre 06:13 e 08:34 UTC, a partir de um único endereço IP, vieram autenticações em série obtendo tokens do Microsoft Graph, a interface que alcança e-mail, OneDrive, SharePoint e Teams. Os ambientes foram percorridos em ordem, com segundos de intervalo: trabalho de script, com lista de alvos.

Até a noite de 16 de outubro, a Huntress havia confirmado logins não autorizados em 162 ambientes; no dia seguinte, a contagem divulgada já chegava a 173. Em atualização de 17/10, a empresa disse ter visto atividade de login do atacante em quase mil ambientes, com mais de 300 tentativas bem-sucedidas. Nos casos examinados a fundo não havia sinal de mensagens ou arquivos levados — mas leituras de diretório pelo Graph não deixam trilha de auditoria.

A resposta: backup desligado

Em 17 de outubro, às 05:01 UTC, a ConnectWise cortou o acesso do aplicativo de backup e, horas depois, desativou sete identidades de aplicação. Também suspendeu, por precaução, os serviços SaaS Security e Cloud Management, integrados ao backup. Consequência: backups agendados parados e restaurações indisponíveis até segunda ordem. A empresa afirma que os arquivos de backup existentes “permanecem criptografados, isolados e preservados”, sem evidência de acesso, e contratou uma firma externa de resposta a incidentes. Avisou ainda que as credenciais compartilhadas foram invalidadas, mas que tokens emitidos antes podem continuar valendo até expirar.

Se a sua empresa tem um MSP

O The Register lembrou um ponto incômodo: muitos clientes finais nem sabem que a ConnectWise faz parte da sua cadeia — quem contratou foi o provedor. A primeira providência, então, é uma pergunta ao seu fornecedor de TI: usamos ConnectWise Cloud Backup, SkyKick ou Cloud Management?

Se a resposta for sim, a orientação de quem investiga o caso:

• Desativar, não excluir, os aplicativos da ConnectWise/SkyKick no Entra ID. Excluir remove o consentimento e complica a volta do serviço.
• Desativar não basta: revisar segredos e certificados adicionados desde 13 de outubro em todos os aplicativos corporativos e registros de aplicativo, e remover o que ninguém criou.
• Conferir os papéis administrativos dados a esses aplicativos e retirar os que não foram concedidos de propósito.
• Auditar os logins de identidades de aplicativo (os service principals) em 15 de outubro, procurando o IP 144.172.64.128 e acessos feitos por scripts em Python.
• Preservar as evidências antes de apagar qualquer coisa — e não reativar nada até a ConnectWise confirmar a troca de todas as credenciais.

E uma pergunta prática: enquanto o serviço estiver parado, o e-mail e os arquivos da empresa estão sem esse backup. Existe outra cópia?

A chave que a empresa entregou

Se a técnica soa familiar, é porque ela é. Em setembro, entraram em 5 mil contas do Dropbox pelo “entrar com” de outra empresa; em agosto, contamos como uma campanha invadiu 94 empresas com o MFA da Microsoft ligado. O padrão se repete: a porta não é a senha do funcionário, é a confiança que a empresa deu a um aplicativo de terceiro.

A comparação que mais apareceu nos últimos dias foi com o caso Kaseya, de 2021, quando um fornecedor de MSPs serviu de trampolim para atingir os clientes dos clientes. Cinco anos depois, a pergunta que decide o tamanho do estrago continua a mesma — e quase ninguém sabe responder de cabeça: quais aplicativos de fora têm, hoje, permissão de administrador no nosso Microsoft 365?

Fontes

• ConnectWise — Trust Center, comunicado sobre a interrupção do Cloud Backup e atualizações (16 a 19/10/2026): connectwise.com
• Huntress — “Vendor credential enables unauthorized access” (16/10/2026, com atualizações em 17/10): huntress.com
• BleepingComputer — “Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack”, com a avaliação da Microsoft Threat Intelligence (17/10/2026): bleepingcomputer.com
• The Hacker News — “Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants” (17/10/2026): thehackernews.com

• The Register — “ConnectWise turns off its SaaS-y backup, security, and management services to probe security SNAFU” (19/10/2026): theregister.com

• Foto de capa: interior de uma biblioteca robotizada de fitas de backup StorageTek — Jorge Franganillo, CC BY 2.0, via Wikimedia Commons

• Segunda imagem: escritório da Microsoft em Colônia, na Alemanha — Raimond Spekking, CC BY-SA 4.0, via Wikimedia Commons