Para proteger e-mails, arquivos do OneDrive e do SharePoint e conversas do Teams, uma ferramenta de backup do Microsoft 365 precisa de acesso amplo ao ambiente da empresa. Em outubro de 2026, esse acesso foi usado contra os próprios clientes de um fornecedor de backup.
O que aconteceu
Segundo a Huntress, em 15 de outubro a identidade do aplicativo ConnectWise Cloud Backup (antigo SkyKick) começou a fazer logins em ambientes Microsoft 365 de clientes a partir de um endereço de um provedor de hospedagem, e não da rede do Azure que o aplicativo normalmente usa. Até a noite de 16 de outubro, a Huntress havia confirmado acessos indevidos em 162 ambientes. A credencial comprometida pertencia ao próprio fornecedor, e não a nenhum cliente.
A Microsoft atribuiu a ação ao grupo Storm-0940, alinhado ao Estado chinês, que usou um framework de testes de invasão com IA chamado ARTEX para tentar entrar em mais de 2.250 ambientes Microsoft 365. Como o aplicativo já tinha consentimento nesses ambientes, o invasor não precisou da senha de nenhum usuário nem passou pelo MFA. Nos ambientes afetados, a Microsoft observou reconhecimento via Microsoft Graph, mudanças de credenciais de aplicativos e tentativas de ampliar privilégios. A empresa ressalta que um login bem-sucedido não significa, por si só, que dados foram acessados ou copiados.
A ConnectWise informou que soube do problema em 14 de outubro, suspendeu o Cloud Backup em 17 de outubro e trocou todas as contas e credenciais do ambiente afetado. Segundo a empresa, os arquivos de backup já guardados continuaram criptografados e isolados, sem indício de comprometimento. A restauração em fases começou em 28 de outubro, com um novo aplicativo e a exigência de reautorizar cada ambiente.
Duas lições para a sua empresa
1. Aplicativos de terceiros fazem parte da superfície de ataque. Ferramentas de backup, segurança e gestão costumam ter permissões altas no Microsoft 365. Se a credencial do fornecedor vaza, a senha forte e o MFA dos usuários não impedem o acesso. Por isso, vale saber exatamente quais aplicativos têm consentimento no ambiente e o que cada um pode fazer.
2. Backup também precisa de plano B. Entre a suspensão e o início da restauração, os clientes do serviço ficaram quase duas semanas sem novas cópias e sem conseguir restaurar dados. É exatamente o cenário que a regra 3-2-1 cobre: três cópias dos dados, em dois tipos de armazenamento diferentes, com uma delas fora do ambiente principal.
O que revisar agora
- No Microsoft Entra, listar os aplicativos corporativos com consentimento no ambiente e desativar os que ninguém usa ou que ninguém sabe para que servem.
- Conferir as permissões de cada aplicativo e manter só o necessário para a função dele.
- Acompanhar os logins de service principals (identidades de aplicativos), e não só os de usuários, e investigar origens inesperadas.
- Verificar credenciais, proprietários e funções administrativas atribuídas a aplicativos, procurando mudanças que ninguém autorizou.
- Garantir que o backup do Microsoft 365 siga a regra 3-2-1 e não dependa de um único caminho para restaurar.
- Testar a restauração periodicamente, com arquivos e caixas de e-mail reais, e não apenas conferir se a rotina de backup terminou.
Onde foi publicado
Fontes
- Microsoft Security Blog — AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise
- ConnectWise Trust Center — Cloud Backup (formerly known as SkyKick) Service Interruption
- Huntress — ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks
O que a equipe pode fazer daqui
Backup imutável e fora do ambiente é o que garante a volta da operação depois de um ataque. A TechPartners BR implanta e acompanha o backup Acronis e atende o dia a dia pelo suporte.