Ataque masivo: hackers acceden a 173 tenants de Microsoft 365
Si usás Microsoft 365 en tu empresa, prestá atención: investigadores de ciberseguridad detectaron un ataque coordinado donde hackers están usando credenciales robadas de ConnectWise Cloud Backup para acceder sin autorización a los entornos de Microsoft 365 de cientos de clientes. Hasta el momento, se confirmaron infiltraciones en al menos 173 tenants. Esto no es un problema menor: estamos hablando de acceso potencial a correos empresariales, datos sensibles y sistemas críticos.
¿Qué pasó?
Investigadores de seguridad identificaron una campaña activa donde actores de amenaza desconocidos están abusando de una credencial comprometida de ConnectWise Cloud Backup (anteriormente conocido como SkyKick) para entrar sin permiso a los ambientes de Microsoft 365 de sus clientes. ConnectWise Cloud Backup es un servicio de backup y recuperación en la nube diseñado específicamente para managed service providers (MSPs), es decir, esas empresas que administran infraestructura TI para terceros.
El problema es grave porque los MSPs son proveedores de confianza: tienen acceso legítimo a los sistemas de sus clientes. Cuando un atacante compromete las credenciales de un MSP, obtiene un pase VIP para entrar a múltiples organizaciones a la vez. En este caso, los hackers aprovecharon esa ventaja para acceder directamente a 173 tenants de M365 diferentes.
La credencial comprometida fue utilizada para realizar login directo en los ambientes de Microsoft 365, lo que significa que los atacantes no solo intentaron acceder, sino que lo lograron. Una vez adentro, podrían haber accedido a correos electrónicos, archivos compartidos, información financiera y otros datos sensibles almacenados en la plataforma.
¿Por qué importa en Argentina y América Latina?
En la región, Microsoft 365 es la plataforma de productividad más adoptada por empresas medianas y grandes. Desde PyMEs que tercerizan su infraestructura TI con MSPs locales hasta grandes corporaciones, muchas organizaciones argentinas y latinoamericanas dependen de este ecosistema. Un ataque como este afecta directamente a la cadena de suministro de servicios tecnológicos: si los MSPs son comprometidos, sus clientes caen como fichas de dominó.
Argentina, en particular, tiene un ecosistema de MSPs muy activo. Empresas en CABA, Córdoba, Rosario y otras ciudades ofrecen servicios de respaldo y administración en la nube. Muchas de ellas usan ConnectWise. Si bien no hay información oficial sobre cuántos de los 173 tenants afectados pertenecen a empresas latinoamericanas, el riesgo es real y concreto.
¿Qué se recomienda?
Para empresas que usan Microsoft 365: Contactá inmediatamente a tu MSP o proveedor de IT para verificar si fueron afectados. Solicitá un reporte de accesos recientes a tus tenants y busca actividad sospechosa en los logs de auditoría de M365. Revisa cambios en cuentas de usuario, creación de nuevas aplicaciones OAuth, o accesos desde ubicaciones inusuales.
Para MSPs: Si usás ConnectWise Cloud Backup, implementá cambios de credenciales de inmediato. Resetea todas las contraseñas asociadas y habilita autenticación multifactor (MFA) en todas las cuentas administrativas. Realiza un auditoría completa de accesos a los ambientes de tus clientes en los últimos 30 días.
Para todos: Este incidente refuerza por qué la autenticación multifactor no es opcional. Habilitá MFA en todas tus cuentas críticas, especialmente en Microsoft 365 y en plataformas de administración de infraestructura. También es fundamental monitorear constantemente los logs de acceso y establecer alertas ante intentos de login desde ubicaciones sospechosas.
Fuente: The Hacker News
