Ataque à ConnectWise: os riscos ocultos para seus dados

No dia 17 de outubro de 2026, a ConnectWise, gigante de software para provedores de serviços gerenciados (MSPs), anunciou a suspensão de três serviços em nuvem e a desativação de sete identidades de aplicações após detectar acessos não autorizados a ambientes Microsoft 365 de seus clientes. A empresa, em comunicado oficial, tentou minimizar o incidente, afirmando que "não há evidências de acesso ou comprometimento dos arquivos" e que as medidas foram "preventivas". Mas, como analista crítico de privacidade, eu pergunto: será que podemos confiar nessa narrativa?

O ataque, que começou a ser investigado em 14 de outubro, explorou a confiança que os administradores de TI depositaram nas aplicações da ConnectWise. Ao comprometer credenciais dessas aplicações, os invasores conseguiram solicitar tokens ao Microsoft Entra ID usando permissões previamente autorizadas, sem precisar roubar senhas individuais. Isso significa que, dependendo dos privilégios concedidos, eles poderiam acessar e-mails, documentos do SharePoint, mensagens do Teams e informações de diretório. A ConnectWise admite que "não possui visibilidade direta sobre todos os ambientes Microsoft 365 de seus clientes", uma confissão que deveria alarmar qualquer um que confiou seus dados a essa plataforma.

O que a ConnectWise não está contando é o verdadeiro impacto para os usuários finais. Enquanto a empresa fala em "contenção" e "investigação", milhares de organizações podem estar com seus dados expostos, sem saber. A Huntress, empresa de segurança que investigou o incidente, identificou atividades suspeitas em quase mil ambientes Microsoft Entra, com cerca de 300 autenticações bem-sucedidas. E esses números podem ser apenas a ponta do iceberg.

O que a ConnectWise não está contando

A narrativa oficial da ConnectWise se concentra em medidas técnicas: revogação de certificados, suspensão de serviços, desativação de identidades. Mas, por trás dessa cortina de fumaça, há perguntas incômodas que precisam ser respondidas:

• Como as credenciais foram comprometidas? A empresa ainda não explicou o mecanismo exato. Será que houve negligência na proteção dessas credenciais? Ou pior: será que uma vulnerabilidade em seus produtos foi explorada?
• Quais dados foram realmente acessados? A ConnectWise afirma que "não há evidências de acesso aos arquivos", mas isso não significa que não houve acesso. A Huntress observou tentativas de acesso a caixas de e-mail, SharePoint e Teams. E se algumas dessas tentativas tiveram sucesso?
• Por que a empresa não notificou os clientes imediatamente? O incidente foi identificado em 14 de outubro, mas a suspensão dos serviços só ocorreu três dias depois. Nesse intervalo, os invasores tiveram tempo de sobra para explorar os ambientes comprometidos.

Essas perguntas não são retóricas. Elas refletem uma realidade incômoda: quando uma empresa de tecnologia sofre um ataque, os verdadeiros prejudicados são os usuários finais, que raramente são informados da extensão do problema.

O efeito cascata: como um ataque a um MSP pode afetar você

A ConnectWise é uma fornecedora de ferramentas para MSPs, que por sua vez gerenciam a infraestrutura de TI de milhares de empresas. Isso significa que um único comprometimento pode se espalhar por uma cadeia inteira de organizações. Se o seu provedor de serviços usa ConnectWise, é bem possível que seus dados também estejam em risco.

O ataque explorou a confiança entre aplicações e o Microsoft Entra ID. Quando um administrador autoriza uma aplicação como a ConnectWise Cloud Backup a acessar o Microsoft 365, ele está concedendo permissões amplas. Se essa aplicação for comprometida, o invasor herda essas permissões. É como se você entregasse a chave da sua casa a um amigo, e esse amigo fosse assaltado; o ladrão agora tem a chave da sua casa.

Além disso, os invasores usaram técnicas de persistência, como a atribuição da função de Administrador Global a aplicações e a criação de novos segredos de cliente. Isso significa que, mesmo que a ConnectWise revogue as credenciais originais, os invasores podem manter acesso aos ambientes por meio de backdoors que criaram.

O golpe do falso suporte técnico: a próxima onda de ataques

Enquanto as empresas se concentram em remediar o incidente, os cibercriminosos já estão se aproveitando da confusão. Uma tática comum após grandes vazamentos é o golpe do falso suporte técnico. Os golpistas entram em contato com funcionários de empresas afetadas, fingindo ser do suporte da ConnectWise ou da Microsoft, e pedem credenciais ou acesso remoto para "resolver o problema".

Esses golpes são altamente eficazes porque exploram o medo e a urgência. O funcionário, preocupado com a segurança dos dados, acaba fornecendo informações sensíveis sem verificar a autenticidade do contato. E, com isso, os invasores obtêm acesso direto aos sistemas, sem precisar de vulnerabilidades técnicas.

Para se proteger, é fundamental adotar uma postura de desconfiança saudável. Nunca forneça senhas ou códigos de acesso por telefone ou e-mail, mesmo que a solicitação pareça legítima. Sempre verifique a identidade do contato por meio de canais oficiais, como o site da empresa ou um número de telefone conhecido. E, acima de tudo, desconfie de qualquer contato não solicitado que peça informações sensíveis.

O que fazer se você foi afetado

Se a sua empresa utiliza ConnectWise ou serviços de MSPs que o fazem, é hora de agir. Não espere a notificação oficial, que pode nunca chegar. Aqui estão algumas medidas práticas:

• Revogue imediatamente todas as permissões de aplicações ConnectWise em seu ambiente Microsoft 365. Consulte a documentação da Microsoft para saber como fazer isso.
• Revise os logs de autenticação desde 13 de outubro de 2026, procurando por atividades suspeitas a partir dos IPs 144.172.64[.]128, 144.172.64[.]99 e 144.172.64[.]60.
• Verifique se há novas aplicações ou segredos de cliente que você não reconhece. Os invasores podem ter criado backdoors.
• Altere todas as senhas de contas administrativas e de usuários que possam ter sido comprometidas.
• Monitore ativamente por atividades incomuns, como regras de encaminhamento de e-mail não autorizadas ou acessos a caixas de entrada.

Além disso, considere usar uma plataforma de monitoramento de vazamentos de dados, como a Kzarka, para verificar se suas informações pessoais já estão circulando na dark web. A detecção precoce pode fazer toda a diferença.

A responsabilização das empresas: um debate necessário

O ataque à ConnectWise levanta uma questão fundamental: até que ponto as empresas de tecnologia devem ser responsabilizadas por falhas de segurança que afetam terceiros? A ConnectWise, como fornecedora de ferramentas críticas para MSPs, tem a obrigação de garantir a segurança de suas aplicações. Se houve negligência, as consequências devem ser proporcionais.

Infelizmente, a legislação brasileira ainda é branda nesse aspecto. A LGPD prevê sanções, mas a aplicação tem sido lenta e insuficiente. Enquanto isso, as empresas continuam lucrando com a coleta massiva de dados, sem investir adequadamente em segurança.

Como consumidores e cidadãos, precisamos exigir mais transparência e responsabilização. Não podemos aceitar que empresas minimizem incidentes e deixem os usuários à própria sorte. A segurança dos nossos dados é uma responsabilidade compartilhada, mas as empresas que lucram com esses dados têm um dever maior.

FAQ: Perguntas frequentes sobre o ataque à ConnectWise

1. O que aconteceu exatamente no ataque à ConnectWise?

A ConnectWise identificou que credenciais de suas aplicações foram comprometidas, permitindo que invasores acessassem ambientes Microsoft 365 de clientes. A empresa suspendeu três serviços e desativou sete identidades de aplicações em resposta.

2. Como saber se minha empresa foi afetada?

Se sua empresa utiliza ConnectWise Cloud Backup, SaaS Security ou Cloud Management, ou se seu MSP utiliza essas ferramentas, você pode estar em risco. Verifique os logs de autenticação do Microsoft 365 para atividades suspeitas a partir dos IPs mencionados no artigo.

3. O que os invasores podem ter acessado?

Dependendo das permissões concedidas às aplicações ConnectWise, os invasores podem ter acessado e-mails, documentos do SharePoint, mensagens do Teams e informações de diretório. A extensão total do comprometimento ainda é desconhecida.

4. O que é o golpe do falso suporte técnico e como se proteger?

É uma tática em que golpistas se passam por equipes de suporte legítimas para obter credenciais ou acesso remoto. Para se proteger, nunca forneça informações sensíveis por telefone ou e-mail sem verificar a identidade do contato por canais oficiais.

5. Como a Kzarka pode ajudar após um vazamento?

A Kzarka monitora continuamente a dark web e outras fontes para detectar se seus dados pessoais foram expostos. Ao se cadastrar, você recebe alertas em tempo real e orientações para mitigar os riscos de roubo de identidade.

O ataque à ConnectWise é um lembrete sombrio de que, no mundo digital, a confiança é um bem frágil. Enquanto as empresas prometem segurança, os cibercriminosos estão sempre um passo à frente. Não espere ser a próxima vítima. Verifique agora se seus dados vazaram e monitore sua identidade digital com a Kzarka. A prevenção é a única defesa real.