Microsoft 365: rischio da app ConnectWise compromessa

Una credenziale Microsoft 365 collegata a ConnectWise Cloud Backup è stata usata da attori sconosciuti per entrare in tenant clienti senza passare dagli account utente. Il punto critico per le aziende è semplice: se l’app era autorizzata nel tenant, l’attaccante poteva ereditare gli stessi permessi dell’applicazione e leggere dati aziendali anche senza rubare la password di un dipendente.

Per chi usa Microsoft 365 con servizi di backup o gestione affidati a terzi, questo caso è un promemoria molto concreto: il rischio non passa solo dagli utenti, ma anche dalle applicazioni con consenso amministrativo, spesso dotate di accessi molto estesi a posta, file, Teams e directory.

Che cosa è successo

Secondo quanto riportato il 17 ottobre 2026 da ricercatori di sicurezza citati da The Hacker News, una credenziale compromessa associata a ConnectWise Cloud Backup, in precedenza noto come SkyKick, è stata sfruttata per accedere in modo non autorizzato a tenant Microsoft 365 dei clienti.

ConnectWise Cloud Backup è un servizio usato da MSP e partner IT per proteggere i dati Microsoft 365 o Google Workspace dei propri clienti. Per funzionare, l’applicazione riceve normalmente autorizzazioni molto ampie: accesso a caselle di posta, OneDrive, SharePoint, Teams e dati di directory. È proprio questa estensione dei privilegi a rendere l’incidente particolarmente delicato.

Huntress ha dichiarato di aver osservato accessi non autorizzati confermati in 173 tenant partner o clienti usando la credenziale del fornitore compromessa. Nella ricostruzione diffusa dai ricercatori, la credenziale è stata usata per ottenere token Microsoft Graph all’interno dei tenant clienti il 15 ottobre 2026, tra le 06:13 e le 08:34 UTC, dall’indirizzo IP 144.172.64.128. L’attività, secondo l’analisi, seguiva una sequenza automatizzata tra tenant diversi, compatibile con uno script.

In pratica, l’attaccante non aveva bisogno di violare singolarmente ogni azienda: gli bastava sfruttare il rapporto di fiducia già esistente tra il tenant e l’applicazione autorizzata.

Perché questo incidente è diverso dal solito furto di password

Nella maggior parte dei casi le aziende associano un attacco a credenziali rubate di utenti interni: email di phishing, password deboli, accessi da Paesi insoliti. Qui il problema è diverso. A essere compromessa non sarebbe stata la password di un dipendente, ma una credenziale applicativa di un servizio terzo già autorizzato nel tenant.

Questo dettaglio cambia molto la gestione del rischio:

• l’accesso avviene come applicazione, non come utente;
• revocare le sessioni degli utenti non basta a fermarlo;
• i token già emessi possono restare validi fino a 90 minuti, anche dopo la disattivazione dell’app nel tenant;
• l’app eredita i permessi già concessi, che in questi scenari sono spesso molto ampi.

Secondo l’analisi riportata, chi otteneva questi token poteva accedere a ciò che il servizio di backup era autorizzato a vedere: email e allegati, file in OneDrive e SharePoint, chat Teams e informazioni di directory. In alcuni ambienti ciò potrebbe significare esposizione di documenti commerciali, contratti, dati HR, comunicazioni con clienti e fornitori.

I segnali più preoccupanti emersi dalle indagini

Oltre agli accessi al servizio di backup, i ricercatori hanno descritto comportamenti più aggressivi in almeno un tenant partner. In quel caso, una diversa app ConnectWise per Microsoft Teams si sarebbe assegnata privilegi di Global Administrator e avrebbe aggiunto nuove credenziali ad altre applicazioni fidate presenti nell’ambiente.

Se confermato in tutti i dettagli, questo passaggio è importante perché indica un possibile salto di qualità dell’attacco: non solo accesso ai dati tramite una singola app, ma tentativo di consolidare la persistenza e allargare il controllo verso altri strumenti gestiti o di sicurezza.

Tra gli elementi segnalati:

• aggiunta dell’app al ruolo di Global Administrator;
• uso di uno script Python per modificare altre applicazioni nel tenant;
• inserimento di nuovi client secret su applicazioni già considerate attendibili.

Per un’azienda, il messaggio è chiaro: quando un’applicazione SaaS o MSP dispone di privilegi elevati, il problema non riguarda soltanto quella singola app, ma l’intera catena di fiducia costruita intorno ai servizi IT esterni.

L’impatto reale sui tenant Microsoft 365

ConnectWise ha dichiarato di aver chiuso l’accesso dell’applicazione Cloud Backup fino a nuovo avviso e di non avere evidenze di compromissione dei dati di backup dei partner. È una distinzione importante, ma non elimina il rischio sui tenant Microsoft 365 dove l’app era installata.

Il punto da capire è questo: il servizio di backup può anche non aver perso gli archivi di backup, ma la credenziale dell’applicazione, se in mano ostile, può essere stata usata per leggere o interrogare i dati direttamente nel tenant Microsoft 365 del cliente.

Inoltre, secondo i ricercatori, alcune operazioni via Microsoft Graph, come certe letture di directory, potrebbero non lasciare una traccia di audit completa. Questo rende poco prudente aspettare una prova definitiva di accesso ai dati prima di intervenire.

Le organizzazioni interessate dovrebbero verificare in particolare:

• i log di accesso del service principal, non solo quelli degli utenti;
• l’Application ID indicato per ConnectWise Cloud Backup: 506e08f9-6e9a-4da4-942b-a099a03644ae;
• eventuali autenticazioni riconducibili all’IP 144.172.64.128;
• modifiche a ruoli di directory o credenziali applicative a partire dal 13 ottobre 2026.

Cosa significa per la tua azienda

Se la tua azienda usa Microsoft 365 tramite un partner IT, un MSP o strumenti di backup cloud con accesso applicativo, non è il momento di limitarsi a “cambiare le password”. Serve una verifica mirata delle app con consenso amministrativo.

Ecco le azioni pratiche più sensate per una PMI italiana:

1. Verifica subito se l’app è presente nel tenant
   Controlla in Microsoft Entra se ConnectWise Cloud Backup o vecchie denominazioni come SkyKick risultano installate e con quali permessi.

2. Disabilita l’app se non è strettamente necessaria nell’immediato
   Le indicazioni diffuse dai ricercatori vanno in questa direzione: bloccare l’emissione di nuovi token fino alla conferma del reset completo delle credenziali da parte del fornitore.

3. Controlla i log corretti
   Molte aziende guardano solo i login utente. In questo caso il controllo va fatto nei log dei service principal nel centro di amministrazione Entra, filtrando per l’application ID indicato.

4. Cerca modifiche sospette ad app e ruoli amministrativi
   Verifica se dal 13 ottobre 2026 sono stati aggiunti client secret, ruoli elevati o nuove autorizzazioni ad applicazioni già fidate.

5. Non dare per scontato che il backup ti protegga da tutto
   Il backup è indispensabile, ma ogni piattaforma di backup con accesso al tenant è anche un soggetto ad alto privilegio. Va quindi governata come un asset critico, con controlli periodici e revisione dei consensi. Su questo tema è utile affiancare alla protezione del dato una strategia di remote backup e di revisione delle dipendenze dai fornitori.

6. Documenta l’incidente dal punto di vista privacy e organizzativo
   Se nei tenant sono presenti dati personali, documenti HR, informazioni di clienti o corrispondenza commerciale, va valutato anche il profilo di conformità e l’eventuale percorso interno di gestione dell’incidente. In molti casi è opportuno coinvolgere chi segue la sicurezza informatica e la governance dei dati.

7. Rivedi il rapporto con i fornitori IT
   Chiedi un elenco aggiornato delle applicazioni terze con accesso al tenant, dei privilegi concessi e dei processi di rotazione delle credenziali. Un buon contratto di assistenza deve includere anche controllo delle app, audit periodici e risposta agli incidenti, non solo supporto operativo quotidiano.

La lezione più utile: governare le applicazioni come si governano gli amministratori

Per anni l’attenzione si è concentrata sugli account amministrativi umani, giustamente protetti con MFA, Conditional Access e policy severe. Oggi però molte delle chiavi più potenti dell’azienda sono nelle applicazioni integrate: backup, sicurezza, firma elettronica, archiviazione, sincronizzazione, gestione dei dispositivi.

Quando una di queste app riceve consenso a livello tenant, ottiene un canale privilegiato che merita lo stesso livello di controllo di un amministratore interno. Questo significa almeno tre cose:

• inventario delle applicazioni con accesso ai dati aziendali;
• revisione periodica dei permessi realmente necessari;
• monitoraggio specifico delle attività applicative, non solo di quelle utente.

Per una PMI, tradotto in termini pratici, vuol dire passare da una logica “installiamo il servizio e poi ce ne dimentichiamo” a una logica di gestione continuativa dell’ambiente Microsoft 365. È proprio questo il tipo di presidio che riduce l’impatto degli incidenti legati alla supply chain digitale e agli strumenti affidati ai partner.

Domande frequenti

Se uso Microsoft 365 ma non conosco ConnectWise, devo preoccuparmi?

Sì, almeno per verifica. Molte aziende non usano direttamente questi strumenti ma li hanno autorizzati tramite il proprio MSP o fornitore IT. Conviene controllare le app registrate nel tenant.

Cambiare la password degli utenti risolve il problema?

No, non da solo. In questo caso l’accesso descritto riguarda una credenziale applicativa, quindi la priorità è controllare o disabilitare l’app coinvolta e verificare i token e i log corretti.

Se ho un backup, sono al sicuro?

Il backup aiuta nel recupero dei dati, ma non impedisce di per sé l’accesso non autorizzato se lo strumento di backup dispone di permessi elevati. Va protetto e monitorato come un componente critico dell’infrastruttura.