PENTESTY · ANÁLISE EDITORIAL · · 4 min de leitura
ConnectWise e Microsoft 365: a resposta continua após desabilitar a aplicação
Suspender uma integração pode conter novas autenticações e interromper a recuperação ao mesmo tempo. A resposta precisa examinar acessos restantes e continuidade.
Por Pentesty
O que foi confirmado até 20 de outubro
As duas reportagens da Cyber Security Brazil sobre autenticações indevidas e suspensão de serviços, publicadas em 19 de outubro, motivaram esta análise conjunta. Essa é a data das matérias, não o início do incidente.
No aviso atualizado em 20 de outubro, às 12h45 UTC, a ConnectWise confirmou que Cloud Backup, SaaS Security e Cloud Management continuavam suspensos. A empresa identificou acesso não autorizado a identidades de aplicações; a origem da exposição das credenciais permanecia sob investigação. Suspensão preventiva de um serviço não comprova comprometimento de todos os clientes.
Autenticar, alterar e copiar dados são resultados diferentes
A atualização da Huntress relata atividade de autenticação em quase mil tenants e mais de 300 autenticações bem-sucedidas. A empresa ressalva que, em alguns ambientes, a ausência do principal de serviço impediu acesso aos recursos. Esses contadores não equivalem a um total de organizações com dados copiados.
Para a Pentesty, o registro de resposta deve separar tentativa, autenticação aceita, mudança de configuração e acesso a dados demonstrado. Cada classificação precisa de evidência e período de observação. Um relatório que mistura essas etapas pode ampliar indevidamente o impacto ou encerrar a investigação cedo demais.
Investigue a identidade que atua sem uma pessoa
A documentação Microsoft sobre autenticações de principais de serviço explica que esses acessos utilizam credenciais próprias da aplicação e não envolvem um usuário. Investigar apenas a sessão de uma pessoa deixa essa trilha fora da revisão.
Nos controles operacionais para aplicações, a Microsoft recomenda monitorar credenciais adicionadas e permissões privilegiadas. O objetivo operacional é relacionar quem alterou uma identidade, qual autoridade ela recebeu e quais recursos consegue alcançar. Nossa análise sobre aceite de serviços OAuth aprofunda a verificação de operações permitidas e recusadas.
Construa uma ficha verificável para cada tenant
O guia técnico da ConnectWise, de 18 de outubro, distingue contenção do fornecedor de configuração local. Use os identificadores oficiais e mantenha as aplicações afetadas desabilitadas até instruções formais. Para organizar o trabalho, a Pentesty propõe uma ficha encerrada por evidências, com decisões que outra pessoa consiga conferir:
- Escopo: tenant revisado, responsável, integração e justificativa de sua presença.
- Entrada: registros consultados, intervalo coberto e lacunas que impedem uma conclusão.
- Decisão: quem aprovou a contenção, risco considerado e estado que precisa ser confirmado.
- Correção: mudança proposta, evidência anterior e posterior, responsável e validação independente.
- Pendências: cada pergunta aberta com proprietário e próxima condição verificável para reavaliar.
A cópia preservada também precisa estar acessível
Na página oficial de status, a ConnectWise informa que os arquivos existentes permanecem preservados e sem indicação de comprometimento, enquanto backups, acesso aos arquivos e restaurações seguem indisponíveis. A condição dos arquivos armazenados e a possibilidade de usá-los são questões distintas.
Registre o último ponto de recuperação confirmado, as alterações posteriores e as funções de negócio dependentes dessa cópia. Avalie alternativas aprovadas e suas limitações antes de presumir que existe cobertura equivalente. Relacione esse levantamento ao plano de continuidade do Microsoft 365 e às permissões que sustentam a recuperação.
Defina a evidência necessária para a retomada
A proposta da Pentesty é preparar critérios de aceite enquanto a investigação continua: proprietário identificado, configuração aprovada, permissões justificadas e um teste representativo de recuperação. Em ambiente autorizado com dados fictícios, registre o que uma identidade pode fazer e o que deve ser recusado.
A retomada do serviço afetado depende das instruções formais do fornecedor. Depois da autorização, confirme conexões, novo trabalho de backup e recuperação do dado de teste. Guarde resultado, horário e responsável. Um teste concluído cobre aquele cenário; lacunas de investigação e dependências não exercitadas precisam continuar explícitas.
Perguntas frequentes
A data de 19 de outubro marca o início do ataque?
Não. É a publicação das matérias brasileiras. A atividade descrita pelas fontes primárias inclui eventos de 15 de outubro e contenção posterior.
Mais de 300 autenticações significam 300 vazamentos?
Não. Autenticação bem-sucedida, acesso ao recurso e cópia de dados exigem evidências diferentes.
Desabilitar a aplicação remove acessos adicionais?
Não. Credenciais, permissões ou identidades adicionadas anteriormente precisam de investigação e correção próprias.
Posso reconectar após terminar a revisão?
A revisão local não autoriza reconexão. Aguarde as instruções formais da ConnectWise e verifique os resultados após a retomada autorizada.
Fontes e referências
- Cyber Security Brazil: referência editorial da notícia
- Cyber Security Brazil: referência editorial da notícia
- ConnectWise: aviso de 20 de outubro de 2026, atualizado às 12h45 UTC
- ConnectWise: disponibilidade dos serviços e da recuperação
- Huntress: investigação atualizada em 19 de outubro de 2026
- ConnectWise: guia técnico de investigação de 18 de outubro de 2026
- Microsoft: autenticações de principais de serviço
- Microsoft: operações de segurança para aplicações
Análise original da Pentesty, publicada em 20 de outubro de 2026. Os cenários propostos são orientações editoriais, com escopo e validação a definir para cada ambiente.