ConnectWise Cloud Backup: attaccanti hanno dirottato le identità Microsoft 365 del servizio, gli MSP devono verificare ogni cliente

ConnectWise conferma un accesso non autorizzato alle identità applicative del suo servizio Cloud Backup, ex SkyKick, che si collegano agli ambienti Microsoft 365 dei fornitori di servizi gestiti e dei loro clienti. Il servizio è sospeso, sette identità sono state disattivate e ogni partner deve controllare da sé i propri tenant.

Cosa è successo

Il 16 ottobre 2026 ConnectWise ha segnalato un accesso non autorizzato a identità applicative dell’ambiente Cloud Backup, il suo servizio di backup di Microsoft 365 per i fornitori di servizi gestiti (MSP), venduto in passato come SkyKick. Queste identità sono le applicazioni che i partner autorizzano in Entra ID perché il servizio possa leggere caselle di posta, Teams o SharePoint. ConnectWise ha sospeso Cloud Backup il 17 ottobre e lo stesso giorno, alle 07:00 UTC, ha disattivato sette identità applicative (Cloud Backup e sei moduli Cloud Management) revocandone le credenziali. È stata incaricata una società di analisi forense esterna.

Il 19 ottobre Cloud Backup, SaaS Security e Cloud Management erano ancora sospesi, senza data di ripristino: niente backup pianificati, accesso agli archivi o ripristini. Il fornitore dichiara di non aver osservato attività malevole riuscite dopo le misure di contenimento.

Chi è coinvolto

Tutti gli MSP che usano questi strumenti e tutti i tenant dei clienti collegati, comprese le connessioni inattive. Secondo The Hacker News, che cita alcuni ricercatori, la credenziale compromessa è stata usata per accedere a 173 tenant Microsoft 365. ConnectWise assicura che gli archivi di backup restano cifrati e isolati, ma ammette di non poter stabilire da sola se un determinato tenant abbia subito attività non autorizzate: la verifica spetta a ciascun amministratore.

Cosa fare ora

1. Esportate subito i log: Entra ID conserva accessi e audit solo 7 giorni nella versione gratuita e 30 giorni con P1/P2. Scaricateli in JSON, insieme all’audit di Purview.
2. Disattivate le applicazioni nel vostro tenant: in Entra ID, Applicazioni aziendali, cercate ogni Application ID pubblicato da ConnectWise (ad esempio 506e08f9-6e9a-4da4-942b-a099a03644ae per Cloud Backup), bloccate l’accesso ma non cancellate nulla per ora.
3. Analizzate gli accessi dal 13 ottobre (meglio dal 1°) cercando gli indirizzi 144.172.64.128, 144.172.64.99 e 144.172.64.60 e le entità servizio interessate.
4. Esaminate l’audit: segreti o certificati aggiunti alle applicazioni, nuove applicazioni, consensi, assegnazioni di ruoli, modifiche all’accesso condizionale, inoltri di posta e regole della casella.
5. Predisponete un backup alternativo finché il servizio resta fermo.

Il nostro parere

Uno strumento di backup ha diritti ampi e permanenti su tutti i tenant che protegge: se la sua identità viene compromessa, tutti i clienti sono esposti in un colpo solo. Tenete un inventario delle applicazioni di terze parti con accesso al vostro Microsoft 365, limitatene i permessi e conservate i log più a lungo di quanto preveda la piattaforma.

Fonti

• ConnectWise Trust Center — Advisory on Cloud Backup Service Interruption
• ConnectWise — Cloud Backup technical investigation and remediation guide
• ConnectWise Status — Cloud Backup security issue
• The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
• The Hacker News — ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants

Come scegliamo, verifichiamo e scriviamo le nostre analisi →