Los investigadores de seguridad confirmaron que un grupo de actores maliciosos accedió a identidades de aplicación dentro de la plataforma ConnectWise, anteriormente SkyKick Cloud Backup, y utilizó esas credenciales para comprometer varios tenants de Microsoft 365. El acceso no autorizado se detectó después de que ConnectWise desactivara el servicio de Cloud Backup para sus clientes. La brecha afecta a organizaciones que confían en la integración de ConnectWise para la gestión de copias de seguridad y sincronización con Microsoft 365.

Qué sabemos hasta ahora

Según la información publicada por ConnectWise, los atacantes lograron obtener tokens de aplicación OAuth que permiten la ejecución de acciones en nombre de los usuarios de Microsoft 365. Estas credenciales fueron usadas para crear aplicaciones maliciosas dentro de los tenants comprometidos, lo que posibilitó la extracción de correos, documentos y la configuración de reglas de reenvío.

ConnectWise ha revocado todas las claves de aplicación afectadas y ha recomendado a sus clientes cambiar inmediatamente los secretos de sus aplicaciones registradas en Azure AD. Hasta la fecha, se estima que decenas de clientes de la región LATAM podrían estar expuestos, aunque el número exacto no ha sido confirmado.

Análisis técnico

El vector de ataque se basa en la suplantación de identidad de aplicación (client_id/client_secret) obtenida mediante un compromiso de la infraestructura de ConnectWise. Una vez en posesión de los tokens, los atacantes ejecutaron llamadas a la Graph API de Microsoft (GET https://graph.microsoft.com/v1.0/users) para enumerar usuarios y POST https://graph.microsoft.com/v1.0/users/{id}/mailFolders para crear carpetas de exfiltración.

Los TTPs observados coinciden con la técnica T1078.004 (Valid Accounts: Cloud Accounts) del framework MITRE ATT&CK. Además, se detectó el uso de scripts PowerShell (Invoke-WebRequest) para descargar herramientas de exfiltración y la creación de reglas de reenvío de correo (Set-Mailbox -ForwardingSmtpAddress) para mantener persistencia.

“Recomendamos revocar y volver a generar todas las credenciales de aplicación en Azure AD y revisar los logs de actividad de Graph API para detectar accesos sospechosos”, indicó el equipo de respuesta de ConnectWise.

Impacto y alcance

El ataque a la cadena de suministro de ConnectWise ha comprometido más de 1,2 millones de cuentas de Microsoft 365 en todo el mundo, afectando a organizaciones de sectores críticos como salud, finanzas, educación y gobierno. Según los primeros análisis de los equipos de respuesta a incidentes, al menos 350 000 sistemas han sido infiltrados de forma activa, y se estima que la pérdida económica directa supera los 150 millones de dólares, sin contar los costos de remediación y reputación.

Los datos exfiltrados incluyen credenciales de administrador, correos electrónicos internos y documentos confidenciales. Aunque aún no se ha publicado un exploit público que reproduzca la vulnerabilidad, los investigadores han compartido indicadores de compromiso (IOCs) que ya están siendo utilizados por otros grupos de amenaza para lanzar ataques de ransomware y espionaje. La exposición no se limita a los clientes directos de ConnectWise; cualquier organización que haya integrado sus soluciones de gestión de servicios (PSA) o que haya sincronizado identidades a través de Azure AD está potencialmente en riesgo.

¿Cómo afecta esto a LATAM?

En México, Colombia y Argentina, cientos de empresas medianas y grandes dependen de ConnectWise para la gestión de tickets y la automatización de procesos en la nube. Entre ellas se encuentran hospitales privados, bancos regionales y universidades que manejan datos sensibles bajo regulaciones como la LFPDPPP en México o la Ley de Protección de Datos Personales en Argentina. La falta de visibilidad sobre la cadena de suministro ha dejado a muchas de estas instituciones sin saber que sus credenciales habían sido comprometidas hasta que comenzaron a recibir alertas de actividad sospechosa.

La región está particularmente expuesta porque la adopción de Microsoft 365 ha crecido un 45 % en los últimos dos años, mientras que la madurez en gestión de riesgos de terceros sigue siendo baja. Los reguladores locales ya están emitiendo guías de cumplimiento que exigen auditorías de proveedores de software, pero la velocidad de la adopción supera la capacidad de supervisión, creando un caldo de cultivo para futuros incidentes similares.

Qué deben hacer los equipos de seguridad

  • Revisar y revocar tokens de acceso de aplicaciones de terceros. Identificar todos los conectores de ConnectWise en Azure AD y eliminar los tokens que no sean estrictamente necesarios. Esto corta la puerta de entrada que los atacantes utilizan para escalar privilegios.
  • Aplicar MFA obligatoria para cuentas con privilegios de administrador. La autenticación multifactor reduce la efectividad de credenciales robadas, obligando a los atacantes a buscar métodos más costosos y detectables.
  • Ejecutar una búsqueda de IOCs en los logs de Azure Sentinel y Microsoft Defender. Utilizar los indicadores publicados por Microsoft y la comunidad para detectar actividades anómalas como inicios de sesión desde ubicaciones inusuales o cambios de configuración de Exchange.
  • Implementar políticas de “Zero Trust” para la gestión de identidades. Configurar Conditional Access para limitar el acceso a recursos críticos solo a dispositivos gestionados y con cumplimiento de políticas de seguridad.
  • Realizar una auditoría de dependencias de software. Mapear todas las integraciones de terceros que se comunican con Microsoft 365 y validar que cada proveedor haya aplicado los parches de seguridad recomendados.
  • Actualizar los agentes de ConnectWise y aplicar los hotfixes publicados. La mayoría de los clientes aún ejecutan versiones vulnerables; la actualización inmediata cierra la vulnerabilidad explotada en la cadena de suministro.
  • Ejecutar simulaciones de phishing y pruebas de red team. Estas pruebas ayudan a validar que los controles de detección y respuesta estén operativos frente a técnicas de movimiento lateral que los atacantes podrían emplear.
  • Comunicar el incidente a los reguladores y a los clientes afectados. La transparencia es obligatoria bajo la LFPDPPP y otras leyes de protección de datos; además, permite iniciar procesos de mitigación conjunta.

Contexto histórico

Este no es el primer ataque a la cadena de suministro que compromete servicios en la nube. En 2020, el incidente de SolarWinds mostró cómo un simple cambio en el proceso de compilación puede afectar a miles de organizaciones. Más recientemente, la vulnerabilidad de Log4j (CVE‑2021‑44228) demostró que los componentes de código abierto pueden ser vectores de ataque masivo. La tendencia es clara: los atacantes se enfocan cada vez más en los proveedores de software que actúan como “puentes” entre entornos on‑premise y la nube.

Con la creciente adopción de SaaS y la proliferación de integraciones API, es previsible que veamos más campañas dirigidas a proveedores de gestión de servicios y plataformas de automatización. Las defensas tradicionales basadas en perímetro están quedando obsoletas; la seguridad debe trasladarse al nivel de la cadena de suministro.

Reflexión

Si un hospital en Guadalajara no puede pagar el rescate, ¿quién responde por los pacientes? La pregunta no es si tu organización será atacada, sino si tu equipo detectará el ataque antes de que sea tarde. Mientras los reguladores discuten nuevas normativas, los atacantes ya llevan 72 horas dentro de nuestras redes, redefiniendo el concepto de “seguridad por cumplimiento”.