Ataque à ConnectWise: lições de segurança digital

Olá, eu sou o Rafael M., educador em segurança digital da Kzarka. Hoje vamos conversar sobre um incidente recente que acendeu um alerta importante para empresas e profissionais de TI: o ataque à ConnectWise, uma conhecida fornecedora de software de gerenciamento para provedores de serviços. Mais do que apenas entender o que aconteceu, quero que você saia daqui com ações práticas para proteger a sua organização e, principalmente, a sua identidade digital.

No dia 18 de outubro de 2026, a ConnectWise anunciou a suspensão de seu serviço de Cloud Backup após descobrir que invasores comprometeram identidades de aplicativos e, com isso, acessaram ambientes Microsoft 365 de diversos clientes. A notícia, publicada no The Hacker News, revela um ataque sofisticado que explora a confiança entre aplicativos e serviços em nuvem. Mas o que isso significa para você, que talvez não seja um gigante da tecnologia? Significa que ninguém está imune e que a segurança digital exige vigilância constante.

Neste artigo, vou explicar em linguagem simples o que houve, por que isso é perigoso e, o mais importante, como você pode se defender. Também vou conectar esse caso a um golpe muito comum no dia a dia: o falso suporte técnico. Afinal, os criminosos estão sempre se adaptando, e entender suas táticas é o primeiro passo para não cair nelas.

O ataque à ConnectWise: o que aconteceu?

Imagine que a ConnectWise é como uma empresa que guarda as chaves de segurança de vários prédios. Ela fornece ferramentas para que outras empresas gerenciem seus sistemas, incluindo backups na nuvem. Para isso, usa "identidades de aplicativo" – uma espécie de credencial que permite que o software acesse dados em nome do cliente, sem precisar da senha de cada usuário.

Os invasores conseguiram roubar essas identidades. Com elas em mãos, puderam se passar pelo aplicativo legítimo e acessar os ambientes Microsoft 365 dos clientes da ConnectWise. Isso é grave porque, dependendo das permissões concedidas, o invasor pode ler e-mails, acessar documentos no SharePoint, bisbilhotar conversas no Teams e até modificar configurações de segurança.

A ConnectWise identificou o problema em 14 de outubro e, três dias depois, desativou sete identidades de aplicativo específicas. Também revogou certificados usados para conexões, interrompendo o serviço de Cloud Backup. A empresa afirmou que não há evidências de que os arquivos de backup tenham sido acessados, mas a investigação continua.

De acordo com a Huntress, uma empresa de segurança que está auxiliando na resposta, os invasores realizaram uma "segunda onda de tentativas" direcionadas a 16 locatários de setores como política, segurança nacional e comércio. Felizmente, essas tentativas não tiveram sucesso, mas o episódio mostra a persistência dos criminosos.

Por que isso é tão perigoso?

O ataque à ConnectWise é um exemplo clássico de ataque à cadeia de suprimentos. Em vez de atacar diretamente cada empresa, os criminosos miram um fornecedor que tem acesso a muitos clientes. É como contaminar a água na nascente em vez de envenenar cada copo individualmente.

Quando um invasor obtém a identidade de um aplicativo com permissões amplas, ele pode:

• Ler e-mails confidenciais, incluindo comunicações internas e dados de clientes.
• Acessar arquivos no SharePoint e OneDrive, expondo documentos estratégicos.
• Enviar mensagens pelo Teams se passando por um funcionário legítimo.
• Alterar configurações de segurança, como adicionar novas credenciais ou aumentar privilégios.
• Persistir no ambiente, mesmo depois que a credencial original for revogada, usando segredos de cliente adicionais.

Essa capacidade de "escalar privilégios" é o que torna o ataque tão devastador. O invasor pode passar de um simples acesso a um controle quase total do ambiente Microsoft 365 da vítima.

Lições de segurança para a sua empresa

Mesmo que você não use ConnectWise, as lições deste incidente se aplicam a qualquer organização que dependa de serviços em nuvem. Aqui estão as principais ações que recomendo:

1. Revise as permissões de aplicativos

Muitas empresas concedem permissões excessivas a aplicativos de terceiros sem pensar duas vezes. Faça uma auditoria: quais aplicativos têm acesso ao seu Microsoft 365 ou Google Workspace? Eles realmente precisam de todas essas permissões? Aplique o princípio do menor privilégio: dê apenas o necessário para a função.

2. Monitore atividades suspeitas

Fique de olho nos logs de entrada. A Huntress identificou atividades a partir de um endereço IP específico (144.172.64.128). Se você notar logins de locais incomuns ou em horários estranhos, investigue imediatamente. Ferramentas de monitoramento de identidade podem ajudar a detectar esses padrões.

3. Implemente controles de acesso condicional

O Azure AD (agora Microsoft Entra ID) oferece políticas de Acesso Condicional que podem limitar onde e como os aplicativos se autenticam. Por exemplo, você pode bloquear logins de fora do seu país ou exigir autenticação multifator para aplicativos de alto risco. Isso dificulta a vida dos invasores.

4. Eduque sua equipe sobre o golpe do falso suporte técnico

O ataque à ConnectWise e o golpe do falso suporte técnico têm algo em comum: a exploração da confiança. No caso da ConnectWise, os invasores usaram credenciais legítimas; no golpe, eles se passam por técnicos de empresas conhecidas para enganar as vítimas. Veja como funciona:

• Você recebe uma ligação ou pop-up no navegador dizendo que seu computador está infectado ou que sua assinatura de software expirou.
• O falso técnico pede que você instale um software de acesso remoto, como TeamViewer ou AnyDesk, para "resolver o problema".
• Com acesso ao seu computador, ele pode roubar dados, instalar malware ou até mesmo pedir pagamento por serviços inexistentes.

Nunca permita acesso remoto a alguém que você não conhece ou não solicitou. Empresas legítimas não ligam do nada pedindo acesso ao seu computador. Desconfie de qualquer contato não solicitado.

Como a Kzarka pode ajudar

Na Kzarka, nossa missão é ajudar você a monitorar sua identidade digital e agir rapidamente se seus dados vazarem. Incidentes como o da ConnectWise podem expor informações pessoais e corporativas. Com nosso serviço, você pode:

• Verificar se seus e-mails ou documentos foram expostos em vazamentos conhecidos.
• Receber alertas em tempo real se suas credenciais aparecerem em fóruns criminosos.
• Obter orientação personalizada sobre como se recuperar de um vazamento.

Não espere ser a próxima vítima. A prevenção é sempre mais barata que a remediação.

Perguntas frequentes (FAQ)

1. O que é uma identidade de aplicativo?

É uma credencial usada por um software para acessar recursos em nome de um usuário ou organização. Em vez de usar a senha de uma pessoa, o aplicativo usa sua própria identidade para autenticar. Se essa identidade for comprometida, o invasor pode agir como o aplicativo, com todas as suas permissões.

2. Como sei se minha empresa foi afetada pelo ataque à ConnectWise?

Se você é cliente da ConnectWise, verifique os comunicados oficiais da empresa. Eles listaram as identidades de aplicativo desativadas. Além disso, revise os logs de entrada do Microsoft 365 em busca de atividades suspeitas a partir de 13 de outubro de 2026, especialmente do IP 144.172.64.128.

3. O que devo fazer se cair no golpe do falso suporte técnico?

Desligue o computador imediatamente e desconecte-o da internet. Em seguida, use outro dispositivo para alterar todas as suas senhas, especialmente de e-mail e bancos. Considere formatar o computador ou levá-lo a um profissional de confiança. Denuncie o golpe às autoridades.

4. Como posso proteger minha empresa contra ataques à cadeia de suprimentos?

Além de revisar permissões e monitorar atividades, exija que seus fornecedores tenham políticas de segurança robustas. Pergunte sobre suas práticas de gerenciamento de credenciais e resposta a incidentes. Diversifique seus fornecedores críticos para reduzir o risco de um único ponto de falha.

5. A Kzarka pode monitorar dados corporativos?

Sim, a Kzarka oferece soluções para monitoramento de identidade digital tanto para indivíduos quanto para empresas. Podemos ajudar a detectar exposições de credenciais e dados sensíveis, permitindo uma resposta rápida. Visite kzarka.com para saber mais.

Espero que este artigo tenha ajudado a entender melhor os riscos e, principalmente, a agir. A segurança digital é uma jornada contínua, e cada passo conta. Se você quer saber se seus dados já estão circulando por aí, faça uma verificação gratuita na Kzarka. Cuide-se e até a próxima!