O que você precisa fazer: em cada conta do Microsoft 365 que você administra, abrir o Entra, ir a Enterprise applications e desabilitar o ConnectWise Cloud Backup e qualquer aplicativo SkyKick ou Cloud Management que você não use. Desabilitar, não apagar: apagar obriga a um novo consentimento depois, e exportar a lista de permissões concedidas antes de mexer é o que permite reconstruir o escopo. O backup pausa enquanto o aplicativo está desligado, e a recomendação é manter assim até a ConnectWise confirmar a rotação da credencial.
Depois disso, caçar persistência, que é a parte que a suspensão do serviço não resolve. Procurar segredo ou certificado adicionado a qualquer aplicativo desde 13 de outubro, atribuição de papel de diretório feita por aplicativo ConnectWise ou SkyKick, e regra de encaminhamento de caixa postal criada na janela. O token já emitido continua valendo por até 90 minutos depois do desligamento, e a senha que o atacante plantou vale até 2028.
O que vazou não foi senha de ninguém. Foi a credencial do aplicativo, o segredo que o ConnectWise Cloud Backup apresenta ao Entra ID para trabalhar dentro da conta do cliente sem pedir nada a nenhum usuário. É o fluxo de client credentials do OAuth 2.0, desenhado exatamente para isso, e é por isso que ele atravessa o controle que a maioria das empresas acha que tem.
Esse aplicativo recebe, no consentimento, permissão de nível de aplicação válida para a conta inteira. Segundo a reconstrução da Todyl, o escopo cobria caixa postal completa pelo Exchange Web Services, arquivo no OneDrive e no SharePoint, conversa no Teams e dado de diretório, além da capacidade de restaurar backup. A Microsoft, citada pela imprensa especializada, incluiu nessa lista a permissão Directory.ReadWrite.All.
Acesso condicional e MFA não estavam desligados, estavam fora de alcance
Não existe usuário no fluxo. Logo não existe prompt de MFA, não existe dispositivo para avaliar e a política de acesso condicional de usuário não se aplica. No registro de entrada, o campo de acesso condicional aparece literalmente como notApplied. Vale registrar o detalhe estrutural: aplicativo multi-tenant de terceiro, publicado por outra organização, não aceita política de acesso condicional do cliente. Quem consentiu, consentiu.
O padrão de execução é de script, não de pessoa. A Todyl mapeou as entradas de 15 de outubro entre 07h11 e 08h47 UTC, janela um pouco diferente da de 06h13 às 08h34 que a Huntress registrou, porque cada uma enxerga o conjunto de contas que monitora. É a mesma onda, vista de dois lugares. Em ambas, em ordem crescente de identificador de conta, com um a seis minutos entre cada uma, e um intervalo isolado de 43 minutos no meio. Agente de usuário Python-urllib/3.12 e python-requests/2.31, origem 144.172.64.128, em faixa de hospedagem comercial. A Huntress observou que o atacante parecia trabalhar a partir de uma lista pronta, com preferência aparente por nomes no começo do alfabeto.
A escalada passou por um segundo aplicativo da própria ConnectWise
Em pelo menos uma conta de parceiro, o Cloud Management MS Teams se atribuiu Administrador Global. Em seguida adicionou segredo novo a duas outras aplicações privilegiadas: uma ferramenta de gestão de MSP e o próprio aplicativo da Huntress. As senhas foram criadas com validade até 2028.
Esse é o ponto que separa o incidente de uma fraude comum de token. A credencial original pode ser trocada, e foi. O que o atacante plantou no caminho continua valendo, e credencial em ferramenta de gestão de MSP não se limita a uma conta: ela alcança a carteira de clientes daquele prestador. A Huntress diz ter removido o segredo plantado no aplicativo dela, e recomenda que cada administrador revise credencial de todas as aplicações, uma por uma.
Três contagens, e a diferença entre elas é o tamanho do problema
A primeira foi 162 contas com entrada confirmada, em 16 de outubro às 19h UTC. Depois 173, parceiros e clientes somados. E, no relato ao iTnews, atividade do endereço do atacante em perto de mil contas. A frase da Huntress que organiza tudo isso é direta: a credencial roubada funciona contra qualquer conta onde o aplicativo tenha consentimento. O número publicado é o que a telemetria de quem olhou alcança, não o universo.
Houve também uma onda separada, contra 16 organizações ligadas a políticas públicas, segurança nacional, comércio exterior e minerais críticos. Quase todas falharam, e o motivo é o único detalhe tranquilizador da história: aquelas empresas não usavam ConnectWise. Antes disso, nos dias 13 e 14, o mesmo endereço fez pulverização de senha contra quatro escritórios de advocacia, sem entrada bem-sucedida na telemetria da Huntress.
O registro que responde é o que quase ninguém abre
A entrada aparece em Service principal sign-ins, não na aba padrão de usuário. Filtrando por 506e08f9-6e9a-4da4-942b-a099a03644ae, de 1º de outubro para frente ou até onde a retenção permitir. Qualquer origem fora das faixas de Microsoft e Azure merece atenção, porque a saída normal desse aplicativo é IPv6 privado do Azure.
A limitação é mais séria do que parece. Parte da leitura de diretório não gera evento no log unificado, e o Microsoft Graph activity log, que mostraria a chamada de API, exige licença P1 ou P2, precisa estar habilitado antes e não é retroativo. No Entra ID gratuito a retenção é de sete dias. Tanto a Huntress quanto a Todyl chegam à mesma conclusão prática: agir sem esperar prova de acesso, porque em boa parte das contas a prova não existe e nunca vai existir.
O que a ConnectWise disse, e o que não disse
A empresa identificou acesso não autorizado a identidades de aplicativo no ambiente do Cloud Backup, publicou aviso em 16 de outubro, desabilitou sete identidades em 17 e revogou os certificados associados. Em 18 de outubro suspendeu o Cloud Backup, e com ele o SaaS Security e o Cloud Management, que integram com o backup. Até 19 de outubro os serviços seguiam fora e não havia prazo de retorno. O arquivo de backup, diz a empresa, continua cifrado, isolado e sem indício de acesso.
Não foi dito como a credencial vazou, nem se houve falha de software no caminho. E a empresa afirma, com razão, que não tem visibilidade dentro da conta do cliente, então não pode dizer se algum dado foi lido. Quem tem que responder isso é o MSP, e quem responde pelo dado é o cliente.
No Brasil, a divisão é a da LGPD: o prestador que administra o Microsoft 365 atua como operador, o cliente segue controlador, e o dever de comunicar a ANPD e os titulares é do controlador. O obstáculo é anterior à jurídica. Contrato de MSP quase nunca obriga a declarar quais plataformas sustentam o serviço, e o aplicativo entrou na conta por consentimento feito na implantação, às vezes anos atrás, por alguém que já saiu da empresa. Vale perguntar hoje, por escrito, duas coisas ao prestador: se o Cloud Backup está consentido nas contas que ele administra para você, e quais outros aplicativos multi-tenant ele instalou lá.
Outros sinais do dia
- Mecanismo
O atacante não entrou como usuário, entrou como o próprio aplicativo
A credencial foi apresentada ao Entra ID pelo fluxo de client credentials do OAuth 2.0, que é feito para serviço, não para pessoa. O Entra devolveu um token do Graph válido em cada conta. Sem interação de usuário, o acesso condicional aparece no registro como notApplied e o MFA simplesmente não entra na conversa.
- Persistência
Um segundo aplicativo da ConnectWise se promoveu a Administrador Global
Em pelo menos uma conta de parceiro, o Cloud Management MS Teams se atribuiu o papel de Administrador Global e rodou um script em Python que adicionou segredos novos a duas outras aplicações privilegiadas, uma ferramenta de gestão de MSP e o próprio aplicativo da Huntress. As senhas foram criadas com validade até 2028, o que mantém o acesso de pé depois da troca da credencial original.
- Contagem
Há três números circulando, e o maior é o que deve orientar a verificação
A Huntress publicou 162 contas em 16 de outubro às 19h UTC, depois confirmou 173, e em seguida relatou atividade do endereço do atacante em quase mil contas. Houve ainda uma onda separada contra 16 organizações ligadas a políticas públicas, segurança nacional, comércio exterior e minerais críticos, que falhou porque essas contas não usavam ConnectWise.
- Registro
A aba que responde a pergunta não é a que abre por padrão
No Entra, a entrada aparece em Sign-in logs, aba Service principal sign-ins, filtrando pelo identificador do aplicativo. A aba padrão de usuário não mostra nada. Pior: parte da leitura de diretório não deixa rastro sem o Microsoft Graph activity log, que exige Entra ID P1 ou P2, não é retroativo, e no plano gratuito a retenção é de sete dias.
- Recorte
No Brasil, quem responde pelo vazamento é o cliente, não o MSP
Na LGPD, o prestador que administra o Microsoft 365 do cliente opera como operador e o cliente permanece controlador, com o dever de comunicar a ANPD e os titulares. O problema prático é de informação: o contrato raramente obriga o MSP a declarar quais plataformas usa, então muita empresa não sabe se está na lista sem perguntar.
Fontes e aprofundamento
- The Hacker News · Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants, com a lista dos sete identificadores de aplicativo abusados, a permissão Directory.ReadWrite.All citada pela Microsoft e o roteiro de verificação no Entra.
- Todyl · Investigation: Unauthorized Access Through the ConnectWise Cloud Backup Microsoft 365 App, com a reconstrução do fluxo de client credentials, os indicadores de agente e sessão, a janela de 90 minutos do token e o limite do que o log permite afirmar.
- Huntress · 2026 - October SkyKick, com a orientação de desabilitar sem apagar o aplicativo, a janela de revisão de 14 a 16 de outubro e a consulta para cruzar identificador e nome de organização.
- iTnews · Stolen ConnectWise 'SkyKick' credential exposed Microsoft 365 tenants, com a atividade em quase mil contas, a onda contra 16 organizações de setor sensível e as senhas com validade até 2028.
- The Register · ConnectWise turns off its SaaS-y backup, security, and management services to probe security SNAFU, com os três serviços suspensos, a nota do vice-presidente de operações de segurança e a comparação com o caso Kaseya de 2021.
- SpecterOps · ConnectWise SkyKick Breach: How to Check Your Microsoft 365 Tenant, com as consultas de caminho de controle a partir das identidades de serviço da ConnectWise e o alerta sobre as aspas tipográficas que quebram a execução.