Apps de terceros en Microsoft 365: ojo
🛡️
Análisis de ITCM Solutions con contexto de Sophos (Sophos X-Ops, octubre de 2026). Sophos® es marca registrada de Sophos Ltd.; Microsoft 365 y Microsoft Entra son marcas de Microsoft Corporation; ConnectWise es marca de su titular. El análisis y las recomendaciones son de ITCM Solutions.
Cuando das permiso a una aplicación externa para acceder a tu Microsoft 365 (una copia de seguridad, un CRM, un firmador), esa aplicación tiene su propia llave. Si a su fabricante le roban esa llave, el atacante puede llamar a tu puerta sin contraseña y sin MFA. Es lo que acaba de ocurrir con una aplicación de copias de seguridad muy extendida.
Qué está pasando
Sophos X-Ops ha publicado el análisis de un abuso de la aplicación ConnectWise Cloud Backup. Lo esencial:
- Un atacante obtuvo una credencial de la propia aplicación, en manos del fabricante.
- El 15 de octubre de 2026, durante unos 96 minutos, un script automático fue recorriendo los inquilinos de Microsoft 365 que habían dado consentimiento a la aplicación y pidió tokens de Microsoft Graph en ellos, con la identidad de la app.
- Al usar la identidad de la aplicación, no necesitó contraseñas de usuarios ni MFA.
- Sophos no encontró pruebas de un compromiso generalizado más allá de ese reconocimiento, y ConnectWise cortó el acceso de la aplicación como medida de protección.
Por qué te afecta (pyme / asociación)
- Cada app conectada es una puerta más. En muchas organizaciones se han ido aceptando permisos con los años y nadie recuerda qué aplicaciones siguen teniendo acceso.
- El MFA no cubre este camino. Protege a las personas, no a las aplicaciones. Por eso los atacantes buscan rutas alternativas, como el phishing de código de dispositivo.
- Tu seguridad depende también de tus proveedores. Las aplicaciones de copias suelen tener permisos amplios sobre correo y documentos: si caen, lo que está en juego es mucho.
Qué hacer
- Haz inventario de las aplicaciones empresariales en Microsoft Entra: qué hay, quién la aprobó y qué permisos tiene. Elimina las que ya no uséis.
- Si usabas ConnectWise Cloud Backup, sigue la guía del fabricante: retira el consentimiento de las aplicaciones desactivadas y revisa los inicios de sesión de aplicaciones de esos días.
- Impide que los usuarios aprueben aplicaciones por su cuenta. Activa el flujo de aprobación de administrador para que cada nueva app pase por revisión.
- Aplica el mínimo privilegio: una app que solo necesita leer no debe poder escribir, ni acceder a todos los buzones si le basta con uno.
- Vigila los registros de inicio de sesión de aplicaciones y las altas de credenciales o permisos nuevos. Son la pista de este tipo de abuso.
- Pregunta a tus proveedores cómo protegen las credenciales con las que acceden a tus datos.
¿Sabes cuántas aplicaciones tienen acceso hoy a tu Microsoft 365? En ITCM Solutions lo revisamos y dejamos solo las necesarias. Hablemos.