Analisi editoriale · Fonti primarie
ConnectWise avvia il ripristino graduale di Cloud Backup tramite una nuova applicazione M365
ConnectWise ha iniziato il ripristino. I partner devono reimpostare le password, completare MFA e autorizzare ogni tenant tramite una nuova applicazione; l’autorizzazione non prova la ripresa dei backup.
Aggiornamento e cronologia confermati
L’attività a valle è iniziata il 15 ottobre e ConnectWise ha divulgato l’incidente il 16. Dopo il ritardo dovuto alla convalida esterna, il 28 ottobre alle 16:00 UTC l’azienda ha annunciato l’avvio del ripristino graduale [1]. La fase 1 ripristina backup e recuperi Microsoft 365 attraverso la nuova applicazione rafforzata “ConnectWise Cloud Backup for M365”. Le altre funzioni seguiranno [1].
Azioni obbligatorie per i partner
I partner devono reimpostare la password del portale, completare MFA se necessario e autorizzare ogni tenant tramite la nuova applicazione [1]. Le applicazioni precedentemente disabilitate devono rimanere tali salvo istruzioni specifiche. Rivenditori e partner marketplace devono trasmettere le istruzioni all’amministratore corretto di ogni cliente [1].
Impatto sulla missione e sul recupero
Snapshot e lavori di ripristino tornano per primi. Accesso clienti e monitoraggio seguono nella fase 2, report ed esportazioni nella fase 3, notifiche nella fase 4 [1]. La cronologia mostrerà il vuoto tra l’ultimo snapshot precedente e il primo nuovo. La ri-autorizzazione non conferma la ripresa: ogni tenant richiede uno snapshot completato [1].
Priorità di convalida della sicurezza
Trattare l’autorizzazione come modifica controllata dell’identità. Verificare identità dell’applicazione, permessi, amministratore, ora e tenant prima del consenso. Registrare il primo backup riuscito e testare un ripristino rappresentativo. Continuare a esaminare prove Entra, Purview, SIEM e Graph per credenziali, concessioni, ruoli privilegiati, accesso a posta o file e modifiche ai criteri non autorizzati [1][3].
Decisione di governance
Separare le approvazioni per indagine del tenant, consenso, ripresa dei backup e recupero completo. Il ripristino del fornitore non dimostra che i tenant siano puliti e la disponibilità non chiude l’incidente. Monitorare lacune dei punti di recupero, integrità, copertura e risultati aperti. Questo sostiene un recupero basato su prove secondo NIST [4].
Fonti
- ConnectWise, “Cloud Backup (formerly known as SkyKick) Service Interruption,” originally published 16 Oct 2026, updated 28 Oct 2026 at 16:00 UTC, accessed 29 Oct 2026
- Huntress, “ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks,” updated 17 Oct 2026, accessed 22 Oct 2026
- Microsoft Security Research and Microsoft Threat Intelligence, “AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise,” published 21 Oct 2026, accessed 22 Oct 2026
- NIST SP 800-61 Rev. 3, “Incident Response Recommendations and Considerations for Cybersecurity Risk Management,” final Apr 2025, accessed 22 Oct 2026