Credencial comprometida de ConnectWise utilizada para vulnerar 173 inquilinos de Microsoft 365
Actores de amenazas están explotando una credencial robada de ConnectWise Cloud Backup para infiltrarse en entornos de clientes de Microsoft 365. Los equipos de seguridad deben revisar los permisos de aplicaciones de terceros y aplicar controles estrictos de acceso.
Resumen
- Atacantes utilizaron una credencial comprometida de ConnectWise Cloud Backup para acceder a 173 inquilinos de Microsoft 365.
- La brecha destaca los riesgos de integraciones de aplicaciones de terceros y permisos excesivos.
- Las organizaciones deberían auditar el acceso de aplicaciones a M365 e implementar principios de confianza cero de inmediato.
- Los investigadores de seguridad recomiendan rotar credenciales y habilitar autenticación multifactor.
- Los proveedores de servicios gestionados (MSPs) están particularmente en riesgo debido a su amplio acceso a sistemas.
Los ciberdelincuentes han lanzado un ataque generalizado aprovechando una credencial comprometida de Microsoft 365 vinculada a ConnectWise Cloud Backup, un servicio ampliamente utilizado por proveedores de servicios gestionados (MSPs). Esta credencial proporcionó acceso no autorizado a al menos 173 entornos distintos de inquilinos de Microsoft 365, lo que plantea serias preocupaciones sobre riesgos en la cadena de suministro y ataques basados en identidad.
El incidente subraya la necesidad crítica de que las organizaciones monitoreen y restrinjan el acceso de aplicaciones de terceros dentro de sus ecosistemas en la nube. Con los atacantes dirigiéndose cada vez más a integraciones confiables, incluso una única credencial comprometida puede provocar brechas en cascada en cientos de clientes finales.
Cómo se desarrolló el ataque
- Los actores de amenazas obtuvieron acceso utilizando una credencial legítima pero comprometida de ConnectWise Cloud Backup (anteriormente SkyKick).
- La credencial tenía amplios permisos, permitiendo acceso a múltiples servicios de Microsoft 365, incluidos correo electrónico y OneDrive.
- No hay evidencia de que ConnectWise haya sido hackeada directamente; más bien, es probable que la credencial se expusiera debido a una mala gestión del acceso o a un ataque de phishing.
- Una vez dentro, los atacantes pudieron moverse lateralmente entre los inquilinos conectados de M365 sin activar alertas típicas.
Qué deben hacer ahora los equipos de seguridad
- Auditar todas las aplicaciones de terceros con acceso al entorno de Microsoft 365.
- Aplicar el principio del menor privilegio (PoLP) para todas las aplicaciones integradas y cuentas de usuario.
- Habilitar y exigir autenticación multifactor (MFA) para todas las cuentas administrativas.
- Monitorear registros de inicio de sesión en busca de actividad inusual, especialmente desde direcciones IP o ubicaciones geográficas desconocidas.
- Establecer una frecuencia regular para revisar y rotar claves API y credenciales de cuentas de servicio.
Fuentes
Fuentes
Novedades de seguridad por correo
Un correo resumen cuando publicamos nuevos artículos de seguridad (resumen más enlaces para leer más). Date de baja cuando quieras desde el pie del mensaje. Consulta nuestra Política de privacidad.