Credencial Comprometida da ConnectWise Usada para Invadir 173 Locatários do Microsoft 365
Agentes de ameaça estão explorando uma credencial roubada do ConnectWise Cloud Backup para infiltrar ambientes Microsoft 365 de clientes. Equipes de segurança devem revisar permissões de aplicativos de terceiros e impor controles rigorosos de acesso.
TL;DR
- Atacantes utilizaram uma credencial comprometida do ConnectWise Cloud Backup para acessar 173 locatários do Microsoft 365.
- A violação destaca os riscos das integrações de aplicativos de terceiros e permissões excessivas.
- As organizações devem auditar o acesso de aplicativos ao M365 e implementar princípios de zero-trust imediatamente.
- Pesquisadores de segurança recomendam a rotação de credenciais e a habilitação da autenticação multifator.
- Provedores de serviços gerenciados (MSPs) estão particularmente em risco devido ao seu amplo acesso aos sistemas.
Cibercriminosos lançaram um ataque generalizado ao utilizar uma credencial comprometida do Microsoft 365 vinculada ao ConnectWise Cloud Backup, um serviço amplamente utilizado por provedores de serviços gerenciados (MSPs). Essa credencial permitiu acesso não autorizado a pelo menos 173 ambientes distintos de locatários do Microsoft 365, levantando sérias preocupações sobre riscos na cadeia de suprimentos e ataques baseados em identidade.
O incidente destaca a necessidade crítica de que as organizações monitorem e restrinjam o acesso de aplicativos de terceiros dentro de seus ecossistemas em nuvem. Com os atacantes cada vez mais direcionando integrações confiáveis, mesmo uma única credencial comprometida pode levar a violações em cascata em centenas de clientes finais.
Como o Ataque Se Desenrolou
- Agentes de ameaça obtiveram acesso usando uma credencial legítima, porém comprometida, do ConnectWise Cloud Backup (anteriormente SkyKick).
- A credencial possuía amplas permissões, permitindo acesso a diversos serviços do Microsoft 365, incluindo e-mail e OneDrive.
- Não há evidências de que a própria ConnectWise tenha sido hackeada — é provável que a credencial tenha sido exposta por meio de má gestão de acesso ou phishing.
- Uma vez no interior dos sistemas, os atacantes puderam se mover lateralmente entre os locatários conectados do M365 sem acionar alertas típicos.
O Que as Equipes de Segurança Devem Fazer Agora
- Auditar todos os aplicativos de terceiros com acesso ao seu ambiente Microsoft 365.
- Aplicar o princípio do menor privilégio (PoLP) para todos os aplicativos integrados e contas de usuário.
- Habilitar e exigir autenticação multifator (MFA) para todas as contas administrativas.
- Monitorar registros de login em busca de atividades incomuns, especialmente provenientes de endereços IP ou localizações desconhecidas.
- Estabelecer uma rotina regular para revisão e rotação de chaves de API e credenciais de contas de serviço.
Fontes
Fontes
Atualizações de segurança por e-mail
Um e-mail resumo quando publicarmos novos artigos de segurança (TL;DR e links para ler mais). Cancele a inscrição a qualquer momento no rodapé da mensagem. Veja nossa Política de Privacidade.