Em 16 de outubro de 2026, a ConnectWise identificou tentativas de acesso suspeitas ao ambiente do Cloud Backup (ex-SkyKick), serviço de backup usado por provedores de serviços gerenciados (MSPs) para proteger dados de e-mail, OneDrive, SharePoint e Teams de clientes no Microsoft 365. No dia seguinte, 17 de outubro, a empresa confirmou acesso não autorizado às identidades de aplicação do serviço: um invasor usou uma credencial OAuth comprometida do Cloud Backup para gerar tokens do Microsoft Graph e, segundo relatos técnicos da investigação, conseguiu autenticar-se em 173 tenants (ambientes) de parceiros e clientes entre 06h13 e 08h34 UTC do dia 15/10. A aplicação tinha permissões amplas sobre caixas de e-mail, OneDrive, SharePoint, Teams e dados de diretório; em pelo menos um caso, uma aplicação adicional chegou a se autoconceder o papel de Administrador Global dentro do tenant comprometido.
A ConnectWise suspendeu o acesso do Cloud Backup "até nova ordem", revogando os certificados usados pelas conexões afetadas e desligando sete identidades de aplicação abusadas, o que interrompeu backups agendados e o acesso a restaurações para clientes do serviço, independentemente de terem sido alvo direto do ataque. A empresa contratou uma consultoria forense externa, publicou indicadores de comprometimento (incluindo o endereço IP 144.172.64.128) e afirmou não ter evidência de que os arquivos de backup propriamente ditos tenham sido acessados — o risco identificado está nas permissões da aplicação sobre o Microsoft 365, não no conteúdo dos backups armazenados, que seguem criptografados e isolados. A Microsoft classificou o episódio como um ataque de cadeia de suprimentos (supply chain) e recomendou que clientes revisem logs de login com IPs não reconhecidos, mudanças de credenciais de aplicativos e concessões de permissão OAuth em seus próprios ambientes.
Por que isso importa para uma PME brasileira: muitas pequenas e médias empresas no Brasil não administram o próprio Microsoft 365 diretamente — isso é terceirizado a um provedor de serviços de TI (MSP), que frequentemente usa ferramentas como o ConnectWise Cloud Backup para automatizar backup e suporte de vários clientes ao mesmo tempo. Esse tipo de incidente mostra o risco da cadeia de suprimentos: mesmo que sua empresa nunca tenha sido alvo direto de um ataque, uma credencial comprometida em uma ferramenta usada pelo seu fornecedor de TI pode dar a um invasor acesso a e-mails, arquivos e conversas da sua empresa no Microsoft 365 — sem que nada tenha "falhado" dentro da sua própria rede.
O que fazer agora: se sua empresa terceiriza a administração de TI ou de backup do Microsoft 365, pergunte diretamente ao seu provedor se ele usa o ConnectWise Cloud Backup (antigo SkyKick) e, em caso positivo, se o acesso da aplicação já foi revisado ou desativado conforme orientação da ConnectWise. De forma mais geral, independentemente deste caso específico, vale revisar periodicamente quais aplicativos de terceiros têm permissão de acesso (OAuth) ao Microsoft 365 da empresa — em Aplicativos corporativos no Microsoft Entra, ou pedindo esse relatório ao seu provedor — removendo acessos que não são mais necessários. É exatamente esse tipo de permissão esquecida, concedida a uma ferramenta de terceiro, que torna esse tipo de incidente possível.
Fonte primária: página oficial de status e avisos de segurança da ConnectWise (atualizações de 16 e 17/10/2026 sobre o incidente "ConnectWise Cloud Backup Issue Investigation").
