ConnectWise ha sospeso temporaneamente il servizio Cloud Backup dopo aver rilevato la compromissione di credenziali associate a identità applicative utilizzate per accedere agli ambienti Microsoft 365. Il 17 ottobre 2026 l’azienda ha disabilitato sette identità applicative e revocato i certificati associati, coinvolgendo integrazioni con Microsoft Teams, Exchange Online, Microsoft Graph, Partner Center e SharePoint Online.
L’incidente riguarda credenziali utilizzate dalle applicazioni per autenticarsi, anziché le password dei singoli utenti. Sfruttandole, gli attaccanti possono richiedere token a Microsoft Entra ID e operare con i privilegi assegnati alle applicazioni compromesse, potenzialmente accedendo a email, documenti, messaggi e informazioni di directory.
La revoca dei certificati impedisce nuove autenticazioni attraverso le connessioni interessate, ma non elimina necessariamente i token già emessi né eventuali modifiche effettuate nei tenant. Gli attaccanti potrebbero inoltre tentare di mantenere l’accesso aggiungendo nuove credenziali ad applicazioni esistenti o creando nuove applicazioni con autorizzazioni elevate.
ConnectWise ha sospeso i backup pianificati e reso temporaneamente indisponibili l’accesso agli archivi e le funzionalità di ripristino. L’azienda dichiara che le copie esistenti restano cifrate e isolate e che, al momento, non sono emerse evidenze di accesso ai dati di backup.
Tra le verifiche prioritarie rientrano l’analisi dei log di accesso e audit, il controllo delle modifiche a ruoli e autorizzazioni delle applicazioni e la ricerca di credenziali o regole di posta sospette. Le verifiche devono considerare anche le modifiche già effettuate nei tenant, che la sola disabilitazione delle identità compromesse non è sufficiente a neutralizzare.
