Análisis editorial · Fuentes primarias
ConnectWise inicia la restauración gradual de Cloud Backup mediante una nueva aplicación de M365
ConnectWise ha iniciado la restauración gradual. Los socios deben restablecer contraseñas, completar MFA y autorizar cada tenant mediante una aplicación nueva; autorizar no demuestra que las copias se hayan reanudado.
Actualización y cronología confirmadas
La actividad posterior comenzó el 15 de octubre y ConnectWise divulgó el incidente el 16. Tras el retraso de la validación externa, el 28 de octubre a las 16:00 UTC anunció el inicio de la restauración gradual [1]. La fase 1 recupera copias y restauraciones de Microsoft 365 mediante la nueva aplicación reforzada “ConnectWise Cloud Backup for M365”. Las demás capacidades volverán en fases posteriores [1].
Acciones obligatorias para socios
Los socios deben restablecer la contraseña del portal, completar la configuración de autenticación multifactor cuando sea necesario y autorizar cada tenant mediante la nueva aplicación [1]. Las aplicaciones deshabilitadas anteriormente deben permanecer así salvo instrucción específica. Revendedores y socios de marketplace deben hacer llegar las instrucciones al administrador correcto de cada cliente [1].
Impacto sobre misión y recuperación
Las primeras capacidades son snapshots y trabajos de restauración. Acceso de clientes y supervisión llegan en fase 2; informes y exportaciones en fase 3; notificaciones en fase 4 [1]. El historial mostrará la brecha entre la última copia anterior al incidente y la primera nueva. La autorización no confirma la reanudación: cada tenant necesita evidencia de un snapshot completado [1].
Prioridades de validación de seguridad
Trate la autorización como un cambio controlado de identidad. Verifique identidad de aplicación, permisos solicitados, administrador, hora y tenant antes de consentir. Registre la primera copia correcta y pruebe una restauración representativa. Continúe revisando evidencia histórica de Entra, Purview, SIEM y Graph en busca de credenciales, concesiones, roles privilegiados, acceso a correo o archivos y cambios de políticas no autorizados [1][3].
Decisión de gobierno
Use aprobaciones separadas para investigación del tenant, consentimiento, reanudación de copias y recuperación completa. La restauración del proveedor no demuestra que los tenants estén limpios y la disponibilidad no cierra el incidente. Controle brechas de puntos de recuperación, integridad, cobertura de supervisión y hallazgos pendientes. Esto respalda una recuperación basada en evidencia conforme a NIST [4].
Fuentes
- ConnectWise, “Cloud Backup (formerly known as SkyKick) Service Interruption,” originally published 16 Oct 2026, updated 28 Oct 2026 at 16:00 UTC, accessed 29 Oct 2026
- Huntress, “ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks,” updated 17 Oct 2026, accessed 22 Oct 2026
- Microsoft Security Research and Microsoft Threat Intelligence, “AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise,” published 21 Oct 2026, accessed 22 Oct 2026
- NIST SP 800-61 Rev. 3, “Incident Response Recommendations and Considerations for Cybersecurity Risk Management,” final Apr 2025, accessed 22 Oct 2026