Zálohovací služba zůstává pozastavená a správci musí prověřit také přihlašovací údaje vložené do dalších aplikací. Výměna původního tajemství dodavatele sama nemusí odstranit všechny cesty útočníka zpět.

ConnectWise v aktualizaci z 20. října 2026 v 00:45 UTC potvrdil pokračující nápravu neoprávněného přístupu k aplikačním identitám služby Cloud Backup, dříve SkyKick. Cloud Backup, SaaS Security a Cloud Management zůstaly pozastavené. Nedostupné byly plánované zálohy, přístup k archivům i obnova, bezpečnostní dohled a některé funkce správy uživatelů a licencí. Firma dosud neuvedla potvrzený termín obnovy; návrat plánuje po etapách po dokončení bezpečnostních kontrol.

Podle výrobce zůstaly uložené zálohovací archivy zašifrované, oddělené a zachované a nebyly známky jejich kompromitace. Tento závěr se týká archivů u poskytovatele. Neříká, zda útočník získal přístup k živým datům v jednotlivých prostředích Microsoft 365. Ani absence úspěšné útočné aktivity v prostředích sledovaných ConnectWise od 17. října v 05:00 UTC nevylučuje zasažení konkrétního zákazníka.

Huntress popsal použití přihlašovacího údaje dodavatelské aplikace k získávání tokenů Microsoft Graph v zákaznických tenantech. Jde o přístup aplikace s již udělenými oprávněními, bez přihlášení člověka a bez jeho výzvy MFA. Aktualizace ze 17. října uváděla téměř tisíc tenantů s pokusy z adresy 144.172.64[.]128 a více než 300 s úspěšným přihlášením. Jde o rozsah pozorování Huntress, nikoli konečný počet postižených zákazníků.

V aktualizaci z 19. října Huntress doložil ve dvou tenantech následné přidělení role Global Administrator a vložení nových tajemství do jiných aplikací. Takové tajemství vytváří další možnost přihlášení, která může přežít odstavení původní aplikace. V těchto dvou prostředích nebyly nalezeny důkazy manipulace se schránkami či soubory; některá čtení přes Graph však podle výzkumníků nezanechávají odpovídající auditní záznam. Chybějící záznam proto nelze vydávat za důkaz, že data nikdo nečetl.