Secuestro de identidades en la nube: Por qué 300 inquilinos de Microsoft 365 cayeron sin que nadie robara una contraseña
Análisis del incidente de ConnectWise que forzó la suspensión de Cloud Backup y expuso casi 1.000 organizaciones mediante la manipulación de credenciales de aplicaciones en Microsoft Entra ID.
Fecha de publicación: 2026.10.19
Un atacante informático ya no necesita engañar a un director financiero mediante un correo de phishing ni descifrar contraseñas complejas protegidas por verificación en dos pasos. Le basta con obtener la llave maestra de una aplicación de confianza instalada en la nube corporativa.
Eso es exactamente lo que ocurrió cuando ConnectWise se vio forzada a suspender de emergencia su servicio Cloud Backup y desactivar siete identidades de aplicación tras detectar que atacantes desconocidos utilizaron credenciales de software legítimo para colarse en cientos de entornos corporativos de Microsoft 365.
Cuando una empresa contrata una plataforma para gestionar copias de seguridad de sus correos de Exchange, carpetas de OneDrive o chats de Teams, le concede permisos muy amplios a través de Microsoft Entra ID (el antiguo Azure AD). Esta integración funciona como un pase de empleado permanente: la aplicación entra y sale del sistema para copiar archivos sin pedir credenciales humanas a cada minuto. Si un intruso intercepta el secreto de cliente o el certificado digital con el que esa aplicación demuestra quién es, puede actuar dentro de la empresa con todos los privilegios de la herramienta, pasando por encima de cualquier barrera de autenticación multifactor (MFA).
Mecanismo del ataque a la cadena de suministro en la nube
De la sustracción de credenciales del software a la toma de control del cliente
Filtración del secreto de aplicación
Los atacantes obtienen las credenciales de servicio compartidas de la plataforma ConnectWise.
Petición directa de tokens en Entra ID
El intruso se autentica directamente contra Microsoft 365 fingiendo ser el software de copia de seguridad.
Creación de puertas traseras locales
Se añaden roles de Administrador Global y nuevos certificados a otras aplicaciones del inquilino.
El riesgo crítico de esta maniobra reside en que apagar el software central no cura la infección en los clientes. ConnectWise revocó los certificados centrales e interrumpió el servicio el 17 de octubre a las 07:00 UTC, pero si el atacante ya había generado nuevas credenciales dentro del inquilino de una empresa víctima durante las horas previas, conserva las llaves para entrar cuando quiera, incluso con el proveedor completamente desconectado.
300 accesos confirmados y 16 objetivos críticos: Las cifras del asalto a Entra ID
Las investigaciones conjuntas entre el fabricante y firmas de respuesta ante incidentes como Huntress revelaron una operación coordinada en dos etapas bien diferenciadas. La primera consistió en un barrido automatizado para validar accesos a gran escala; la segunda, en una incursión manual y quirúrgica contra entidades estratégicas.
El análisis de tráfico detectó casi 1.000 inquilinos empresariales atacados desde una única dirección IP (144.172.64[.]128). De esa cifra, aproximadamente 300 organizaciones sufrieron inicios de sesión no autorizados con éxito. En el resto de los casos, la ausencia de una entidad de servicio activa impidió que el atacante pudiera ejecutar acciones dañinas.
| Indicador de impacto | Cifra confirmada | Implicación operativa para el cliente |
|---|---|---|
| Inquilinos con intentos de conexión | ~1.000 entornos | Alcance del barrido automatizado de tokens |
| Inicios de sesión exitosos | ~300 organizaciones | Empresas con riesgo inminente de persistencia |
| Inquilinos de alto valor atacados a mano | 16 entidades | Sectores de defensa, minería crítica y comercio exterior |
| Identidades de aplicación desactivadas | 7 identificadores | Servicios paralizados en toda la base de clientes |
| Tiempo entre detección y corte de servicio | 70 horas aprox. | Ventana operativa aprovechada para crear puertas traseras |
| Estado de los repositorios cifrados | Sin brecha confirmada | La información histórica almacenada sigue intacta |
El segundo asalto, registrado durante la jornada del 15 de octubre, demostró una sofisticación mucho mayor. Los atacantes seleccionaron 16 inquilinos vinculados a sectores estratégicos —política gubernamental, seguridad nacional, comercio y minerales críticos— y lanzaron dos ofensivas sucesivas.
La primera tanda apuntó a extraer tokens de Microsoft Graph vinculados a la aplicación SkyKick entre las 09:25 y las 12:35 UTC. Apenas una hora después, entre las 13:54 y las 14:20 UTC, ejecutaron un rastreo manual exhaustivo contra las interfaces de programación (API) de Exchange Online, SharePoint Online, Microsoft Teams, Azure Resource Manager y Entra ID, buscando información reservada y vías de persistencia administrativa.
El impacto en las operaciones de TI: Costes imprevistos, parálisis de copias y riesgo de intrusión persistente
Este incidente no representa una simple caída de servicio puntual; altera de raíz la confianza en las herramientas de administración delegada que utilizan los proveedores de servicios gestionados (MSP) y los departamentos internos de soporte informático. El impacto en las empresas afectadas se divide en tres frentes operativos muy definidos.
Comparación temporal en tareas de remediación
Minutos de trabajo requeridos por cada inquilino de Microsoft 365
El sobrecoste de la auditoría forense manual (OPEX)
Desconectar el conector central de ConnectWise solo detiene las llamadas que provengan de esa credencial específica. Para garantizar que un inquilino está limpio, los equipos de seguridad deben auditar manualmente cada aplicación registrada en su directorio de Entra ID.
Revisar si se han agregado nuevos secretos de cliente, inspeccionar asignaciones de roles privilegiados y contrastar los registros de auditoría de Microsoft Purview exige entre 3 y 5 horas de trabajo especializado por cada empresa afectada. Para un proveedor de servicios que gestiona 50 o 100 clientes, esto supone un desembolso imprevisto de miles de dólares en horas extraordinarias de consultoría y respuesta técnica.
La parálisis temporal de la protección de datos (Lead Time)
Con el servicio de Cloud Backup suspendido y los sistemas SaaS Security y Cloud Management fuera de línea de forma preventiva, las copias de seguridad programadas han dejado de ejecutarse. Si un usuario elimina por error un buzón compartido de Exchange o si un ataque de ransomware secundario golpea la infraestructura local durante este periodo, la empresa carece de mecanismos inmediatos para restaurar versiones recientes. Aunque los archivos históricos siguen cifrados y a salvo, la ventana de exposición a pérdidas de datos operacionales se amplía cada día que el servicio permanece inactivo.
El peligro de las puertas traseras durmientes
El mayor riesgo técnico consiste en que los atacantes hayan utilizado el rol de Administrador Global para otorgar permisos a aplicaciones creadas por ellos mismos dentro del inquilino, o para añadir un certificado alternativo a una aplicación legítima que la empresa nunca sospecharía en auditar. Una vez plantada esa credencial secundaria, el atacante no necesita a ConnectWise para nada: puede volver a entrar semanas o meses después directamente a través de las API de Microsoft sin levantar ninguna sospecha inmediata.
Mitigaciones técnicas y cómo tapar la brecha cuando el software central se apaga
Para neutralizar los efectos de una credencial de aplicación robada, los administradores de sistemas no pueden limitarse a esperar los comunicados del fabricante. Microsoft Entra ID cuenta con mecanismos específicos para cortar de raíz el abuso de identidades de máquina, aunque muchas organizaciones suelen descuidar su configuración básica.
Ruta de contención para identidades de aplicación comprometidas
Secuencia obligatoria de saneamiento dentro del panel de Microsoft Entra
Revocar tokens emitidos
Forzar la expiración inmediata de sesiones activas mediante PowerShell o Graph API.
Auditar secretos y certificados
Eliminar cualquier clave generada entre el 14 y el 17 de octubre en aplicaciones registradas.
Restringir creación de credenciales
Activar directivas de gestión de aplicaciones para prohibir secretos sin aprobación estricta.
Cuando un atacante obtiene un token de acceso a partir de una credencial corporativa, ese pase digital conserva su validez durante periodos que oscilan entre 60 y 90 minutos, incluso después de que la empresa proveedora haya dado de baja el certificado original. Cortar este acceso residual exige invalidar explícitamente todas las sesiones de servicio activas.
Por otro lado, la monitorización continua de eventos mediante herramientas como Datadog resulta fundamental para identificar picos anómalos de peticiones a las API de Exchange o SharePoint. Cuando una cuenta de servicio que normalmente realiza copias nocturnas empieza a descargar metadatos de buzones en pleno horario diurno desde una dirección IP no reconocida, el sistema de detección debe generar una alerta de aislamiento instantánea.
Asimismo, es imprescindible aplicar directivas de gestión de aplicaciones (Application Management Policies). Estas reglas permiten a los administradores de Microsoft 365 establecer que ninguna aplicación externa pueda registrar secretos de cliente con una duración superior a 30 días, o bloquear por completo que las aplicaciones integradas incorporen nuevas credenciales sin la aprobación explícita de un administrador humano con privilegios de gestión de identidades en la nube.
Protocolo de triaje y defensa en tres líneas para inquilinos de Microsoft 365
Ante incidentes donde la cadena de suministro de software se ve vulnerada en la capa de identidad federada, las organizaciones deben desplegar un plan de contingencia inmediato dividido en tres barreras operativas. Este enfoque permite aislar el peligro presente y evitar sorpresas desagradables en el futuro.
1ª Línea: Detección y contención inmediata de sesiones anómalas
- Rastreo de la dirección IP de origen: Inspeccionar de inmediato los registros de inicio de sesión de Entra ID (
SignInLogsyServicePrincipalSignInLogs) buscando cualquier intento de autenticación proveniente de la dirección IP144.172.64[.]128o de redes asociadas a servicios de alojamiento temporal. - Invalidación masiva de credenciales y tokens: Ejecutar comandos de revocación sobre todas las entidades de servicio vinculadas a aplicaciones de gestión de ConnectWise y SkyKick, asegurando que ningún token previo siga circulando en memoria.
- Revisión de roles de máxima autoridad: Confirmar que ninguna cuenta de servicio ni entidad de aplicación ajena al equipo interno figure en la lista de Administradores Globales, Administradores de Aplicaciones o Administradores de Autenticación Privilegiada.
2ª Línea: Saneamiento de persistencia y auditoría de cambios
- Inspección de secretos de cliente añadidos recientemente: Filtrar en el registro de auditoría de Entra ID las acciones identificadas como
Update application - Certificates and secrets management. Cualquier clave incorporada entre el 14 y el 18 de octubre que no cuente con una orden de cambio documentada debe borrarse en el acto. - Auditoría de consentimiento de aplicaciones: Localizar cualquier concesión de permisos delegados u permisos de aplicación (
Consent to application) aprobada durante la ventana de tiempo del incidente, prestando especial atención a accesos sobreMail.ReadWrite,Files.ReadWrite.AllyDirectory.ReadWrite.All. - Comprobación de buzones y reglas de reenvío: Verificar que no se hayan creado reglas automáticas de transporte de correo en Exchange Online ni desvíos en buzones individuales de miembros del comité de dirección o departamentos financieros.
3ª Línea: Endurecimiento estructural de identidades federadas
- Principio de mínimo privilegio en herramientas de copia: Exigir que las plataformas de respaldo utilicen únicamente roles específicos de lectura y copia de seguridad, denegando de forma tajante el acceso con privilegios de administración global que suelen solicitar de manera predeterminada para simplificar su instalación inicial.
- Despliegue de identidades de carga de trabajo protegidas (Workload Identities): Incorporar análisis de riesgo en tiempo real para aplicaciones de terceros mediante las funciones avanzadas de Microsoft Entra ID Protection, bloqueando de forma automática los inicios de sesión de aplicaciones si proceden de ubicaciones geográficas o direcciones de red anómalas.
- Contratos de respaldo con aislamiento estricto: Exigir contractualmente a los proveedores de seguridad y continuidad en la nube que las credenciales utilizadas para operar en los sistemas de los clientes sean únicas por inquilino y no compartidas a través de un único secreto global en su propia infraestructura.