Un attacco informatico ha sfruttato credenziali compromesse di ConnectWise per accedere a numerosi ambienti Microsoft 365. I criminali non hanno dovuto necessariamente rubare le password degli utenti: hanno utilizzato le autorizzazioni concesse a un’applicazione esterna. Un episodio che dimostra quanto sia importante controllare non soltanto la sicurezza dei propri sistemi, ma anche gli accessi concessi ai fornitori tecnologici.
Un’azienda può utilizzare password complesse, l’autenticazione a più fattori e sistemi di protezione avanzati, ma restare comunque esposta a un attacco informatico tramite un fornitore esterno.
È quanto emerge dal recente incidente di sicurezza che ha coinvolto ConnectWise, società specializzata in soluzioni software per i fornitori di servizi IT.
L’attacco, scoperto nell’ottobre 2026, ha interessato le credenziali applicative di ConnectWise Cloud Backup, un servizio utilizzato per proteggere i dati presenti negli ambienti Microsoft 365.
Come hanno agito i criminali informatici?
Secondo le analisi pubblicate da Huntress, gli attaccanti hanno sfruttato credenziali compromesse associate all’applicazione ConnectWise per autenticarsi negli ambienti Microsoft 365 dei clienti.
Sono stati documentati accessi non autorizzati in almeno 173 ambienti di Microsoft 365.
Il particolare più significativo riguarda la modalità d’attacco.
I criminali non hanno necessariamente dovuto rubare le password degli utenti né superare direttamente l’autenticazione a più fattori.
Hanno invece utilizzato le autorizzazioni già concesse a un’applicazione ritenuta affidabile.
In alcuni ambienti sono state inoltre osservate attività volte all’acquisizione di privilegi amministrativi e al mantenimento dell’accesso.
Il rischio nascosto nelle applicazioni di terze parti
Molte aziende utilizzano applicazioni esterne integrate con Microsoft 365 per effettuare backup, gestire i documenti, automatizzare i processi o gestire gli utenti.
Per funzionare, queste applicazioni possono richiedere autorizzazioni particolarmente elevate.
Il problema nasce quando tali autorizzazioni vengono compromesse o utilizzate impropriamente.
Un’applicazione autorizzata ad accedere ai dati aziendali può trasformarsi in una porta d’accesso per i criminali informatici.
È una delle possibili manifestazioni degli attacchi alla catena di fornitura, noti come Supply Chain Attack.
Anche i backup possono diventare un problema
L’incidente ha evidenziato un’altra criticità.
Per contenere la minaccia, ConnectWise ha sospeso temporaneamente Cloud Backup e alcuni servizi correlati.
Sebbene l’azienda abbia dichiarato di non avere evidenze di compromissione degli archivi di backup, durante l’interruzione non erano disponibili le normali funzionalità di backup e ripristino.
Una situazione che dimostra quanto sia importante valutare non solo la sicurezza dei backup, ma anche la loro effettiva disponibilità in caso di emergenza.
Come possono proteggersi le aziende?
L’episodio dimostra che la cybersecurity non può limitarsi alla protezione dei computer e delle password.
È necessario controllare periodicamente le applicazioni autorizzate, verificare i privilegi concessi, monitorare gli accessi anomali e predisporre sistemi di rilevamento delle minacce.
Altrettanto importante è disporre di strategie di backup, di disaster recovery e di business continuity capaci di ridurre la dipendenza da un unico servizio.
PAMOPLUS supporta le aziende nella protezione degli ambienti Microsoft 365, nel monitoraggio della sicurezza e nella definizione di strategie per garantire la continuità operativa.
Perché la sicurezza della tua azienda dipende anche da chi autorizzi ad accedere ai tuoi sistemi.