La sospensione del servizio
ConnectWise dichiara di aver identificato il problema il 14 ottobre 2026. Alla comunicazione pubblica del 16 ottobre segue l’aggiornamento del 18, che conferma la sospensione di Cloud Backup e l’indisponibilità dei ripristini. Nell’ambito del contenimento, il fornitore ha disabilitato sette identità applicative il 17 ottobre alle 7 UTC, le 9 italiane.
Universal.cloud conferma per i propri clienti l’arresto delle nuove copie e dei ripristini, mentre i normali servizi Microsoft 365 continuano a funzionare. La distinzione ha conseguenze operative precise. Gli utenti possono lavorare, ma la possibilità di recuperare i dati attraverso quel servizio rimane limitata.
Gli accessi da verificare negli ambienti dei clienti
Huntress documenta autenticazioni non autorizzate riuscite e, in un ambiente cliente, l’aggiunta di credenziali ad altre applicazioni. Questi riscontri richiedono verifiche sui singoli ambienti. Disabilitare le connessioni originarie non elimina necessariamente credenziali o autorizzazioni che siano state aggiunte altrove.
ConnectWise dichiara che gli archivi sono cifrati, isolati e preservati, senza evidenze di accesso. Questa valutazione riguarda gli archivi e non certifica la sicurezza degli ambienti Microsoft 365 dei clienti. Allo stesso modo, un’autenticazione abusiva riuscita non dimostra, da sola, una sottrazione di dati. Autore e movente restano ignoti.
La protezione affidata a un servizio comune
La relazione tra fornitore, gestori di servizi IT e clienti si basa anche sulle identità applicative autorizzate ad accedere ai dati. I permessi necessari al backup possono diventare un percorso di accesso abusivo. Le misure adottate per contenerlo interrompono, nel frattempo, sia la produzione di nuove copie sia il recupero di quelle esistenti.
La pagina di stato indica tutte le regioni del servizio, ma non documenta danni in ogni Paese. La concentrazione degli accessi e delle capacità di recupero presso un fornitore comune merita attenzione anche sul piano internazionale. Non sono invece dimostrati un movente geopolitico o un impatto globale sui servizi essenziali.
Accertare che cosa si può recuperare
Con il protrarsi del fermo aumenta l’intervallo di lavoro non coperto da nuove copie. Un guasto o una cancellazione in questa fase potrebbero rendere più difficile il recupero. Alla data del 18 ottobre non risultano annunciati tempi di ripristino, e l’effettiva ripresa va verificata attraverso prove riuscite.
Il responsabile della sicurezza, insieme al gestore IT e al gruppo di risposta all’incidente, dovrebbe esaminare identità, autorizzazioni e registri, conservando le evidenze e contenendo gli accessi sospetti. Chi segue la continuità operativa deve intanto accertare l’ultimo punto di recupero utilizzabile e verificare un’eventuale alternativa. Da queste verifiche dipendono le indicazioni da dare all’organizzazione sui dati recuperabili, sui limiti e sui tempi sostenibili.
Fonti e riscontri
- Cloud Backup (formerly SkyKick) — investigation and service update
- ConnectWise Product and Services Status — Cloud Backup Issue Investigation
- ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks
- ConnectWise Cloud Backup service interruption: backups temporarily paused
- Investigation: Unauthorized Access Through the ConnectWise Cloud Backup Microsoft 365 App
- When the backup app becomes the way in
- Front of server racks at NERSC.jpg
- Front of racks at NERSC — original Flickr photo
Analisi basata sulle fonti disponibili alla data indicata. Fatti, attribuzioni e conseguenze ipotizzate possono richiedere aggiornamenti al mutare delle evidenze.