Pesquisadores alertam para uma campanha ativa em que criminosos desconhecidos usam uma credencial comprometida do Microsoft 365 pertencente ao ConnectWise Cloud Backup, antigo SkyKick, para entrar sem autorização nos ambientes de clientes. O serviço é um sistema de backup na nuvem feito para provedores que gerenciam a TI de empresas, e recebe permissão ampla para acessar caixas de e-mail, OneDrive, SharePoint, Teams e dados de diretório em cada conta onde está instalado.

Segundo a Huntress, já foram confirmados acessos indevidos em 173 contas de parceiros e clientes usando essa credencial. Como ela funciona em todas as contas que autorizaram o aplicativo, qualquer organização com o app instalado pode ser afetada. Pense nisso como uma chave-mestra copiada: quem a tem abre todas as portas que o dono da chave conseguia abrir. Os acessos foram feitos a partir do endereço 144.172.64.128, no dia 15 de outubro, e os atacantes parecem ter usado um script que percorreu as contas em ordem, poucos segundos de intervalo entre elas.

A Todyl também identificou acessos não autorizados ao aplicativo. Segundo a empresa, quem entra com essa credencial herda as permissões de leitura e escrita em e-mails e anexos, arquivos do OneDrive e SharePoint e conversas do Teams. Encerrar as sessões dos usuários não resolve, e desativar o app só impede a emissão de novos tokens; os já emitidos continuam valendo por até 90 minutos. Enquanto o app estiver ativo em uma conta, ela segue exposta até a ConnectWise trocar a credencial.

Em um dos parceiros, a Huntress encontrou ainda outro aplicativo da ConnectWise que se deu o papel de administrador global e adicionou novas credenciais a outros apps confiáveis, incluindo uma ferramenta de gestão de provedores e a própria plataforma de segurança da Huntress. Isso amplia o risco para além da conta de fornecedor, porque ferramentas assim podem dar acesso a outros clientes.

A Microsoft também trata o caso como um ataque à cadeia de suprimentos ativo e disse que os atacantes tentaram adicionar credenciais para manter acesso direto, como uma porta dos fundos. A ConnectWise desligou o acesso do Cloud Backup até segunda ordem e afirma não ter encontrado indícios de que os dados de backup dos parceiros tenham sido comprometidos. As empresas afetadas devem desativar o aplicativo até a ConnectWise confirmar a troca de todas as credenciais, ativar os logs de atividade do Microsoft Graph, revisar novas credenciais criadas desde 13 de outubro de 2026 e verificar nos logs do Entra se aplicativos da ConnectWise ou SkyKick se atribuíram papéis de diretório. A ConnectWise também listou identificadores dos aplicativos abusados e orientou a buscar, no Entra Admin Center, logins de entidades de serviço vindos de endereços fora das faixas esperadas da Microsoft e do Azure.

Em paralelo, Google Mandiant, Google Threat Intelligence Group e ManageEngine descreveram uma adulteração de curta duração na infraestrutura de atualização do AOMEI Backupper, programa de backup para Windows. Entre abril e julho de 2026, os criminosos alteraram por janelas de cinco a dez minutos o servidor de atualização, redirecionando o programa para um pacote ZIP malicioso. Esse pacote entrega o CROSSROAD, um downloader que prepara o terreno, e o SHINYROAD, um backdoor modular de comando e controle. A atividade foi atribuída ao grupo UNC7017 e atingiu organizações de vários setores em países como Brasil, Índia, Portugal e Estados Unidos. A correção no servidor não limpa máquinas já infectadas.

A Huntress também notou um possível padrão de escolha de alvos em ordem alfabética, com vítimas mais interessantes cujos nomes começam com a letra A. A reportagem original ainda está em desenvolvimento.