Desde Silicon Valley, donde las herramientas de gestión remota forman parte del día a día de las empresas tecnológicas, la alerta de la Dirección General de Seguridad de los Sistemas de Información (DGSSI) de Marruecos, publicada el 12 de noviembre de 2026 y clasificada como «crítica» tanto en riesgo como en impacto (referencia 71001211/26), me llama la atención por una razón sencilla: ilustra, una vez más, cómo una intrusión en un proveedor puede contaminar a decenas de organizaciones en cuestión de minutos.
Una campaña coordinada tomó el control de las consolas de administración de al menos seis proveedores de servicios informáticos gestionados (MSP) que utilizaban la edición en la nube de ConnectWise ScreenConnect. En solo 90 minutos, se enviaron comandos a al menos 288 ordenadores repartidos en 48 organizaciones de todo el mundo, según la información difundida por la DGSSI y las observaciones de investigadores como Huntress. No se trata de un fallo espectacular en el propio software, sino del secuestro de herramientas legítimas, lo que plantea un problema estructural mucho más amplio para la economía digital.
Una alerta para las empresas
Los MSP, esos proveedores a los que muchas empresas confían la gestión de su parque informático, se han convertido en puntos de concentración de riesgos. Al externalizar el mantenimiento, las empresas ganan eficiencia y reducen costes internos, pero también conceden accesos amplios a sus socios. Una sola consola comprometida puede servir entonces de trampolín hacia múltiples clientes.
ConnectWise ScreenConnect es una de las herramientas más utilizadas en este ecosistema para el control remoto: permite a los técnicos acceder a los equipos, ejecutar comandos y realizar operaciones de mantenimiento sin desplazarse físicamente. Estas funciones, indispensables en el día a día, se vuelven peligrosas cuando son desviadas de su uso. La DGSSI subraya precisamente este mecanismo: una intrusión inicialmente limitada a un proveedor puede propagarse rápidamente por las redes de sus clientes.
Las implicaciones económicas son directas. Una vulneración puede dar lugar al acceso a datos confidenciales, a la instalación de software malicioso adicional, a interrupciones de la actividad o a la preparación de ataques de ransomware. En el plano estratégico, cuestiona la confianza en la cadena de suministro informática, un tema sensible para empresas de todos los tamaños, desde las pymes hasta los grandes grupos que externalizan sus TI. En Marruecos, la alerta de la DGSSI (adscrita a la Administración de la Defensa Nacional) muestra además una vigilancia nacional frente a una amenaza internacional.
El desarrollo de la campaña y el papel de SCKit
Según los datos consolidados por la DGSSI y los análisis de Huntress, los atacantes aprovecharon la función legítima «Run Command» de ScreenConnect para instalar un segundo cliente de conexión remota bajo su control, junto con una herramienta maliciosa llamada SCKit. Esta última está diseñada para mantener una presencia persistente: puede instalar un cliente no autorizado, modificar la configuración de Microsoft Defender para debilitar las protecciones, utilizar funciones de Windows (como AppLocker) para bloquear ciertas herramientas de remediación de los administradores y crear una tarea programada denominada «TrapWatch».
SCKit también incluye mecanismos destinados a recuperar las sesiones de administración de los técnicos, con el posible objetivo de propagarse a otras consolas de ScreenConnect. Parte de estas capacidades de propagación se observó en el código, aunque no todas se han constatado sistemáticamente en acción en los incidentes documentados. Las versiones de ScreenConnect principalmente afectadas son la 26.6.6.9747 y la 26.7.6.9783, compilaciones recientes.
Una de las pistas que se examinan se refiere a una debilidad de autenticación en ciertas versiones (1.0.31 y 1.0.32) de la extensión de terceros RMM+. Cuando el administrador nunca ha configurado una clave de acceso, el sistema puede aceptar una clave vacía, eludiendo así los mecanismos de autenticación habituales de ScreenConnect (cuentas, roles y MFA). Esta debilidad constituye una pista, pero el punto de entrada inicial aún no se ha establecido formalmente. ConnectWise precisa que, por el momento, nada permite concluir que su propia infraestructura haya sido comprometida ni que se haya explotado una vulnerabilidad en el propio ScreenConnect. El proveedor desactivó de forma preventiva varias extensiones de la familia RMM+ (Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link y RMM+ Password Link) en unos 400 entornos a los que tenía acceso, recordando al mismo tiempo que su mera presencia no prueba una vulneración.
Cifras clave de la campaña
- Al menos seis proveedores MSP cuyas consolas de administración fueron comprometidas.
- Como mínimo 288 ordenadores afectados en 48 organizaciones.
- Propagación de los comandos en 90 minutos (con una parte significativa en los primeros minutos, según las observaciones de Huntress).
- Unos 400 entornos en los que ConnectWise desactivó extensiones por precaución.
Las recomendaciones y los límites de los parches
La DGSSI pide a las organizaciones y a sus proveedores que comprueben de inmediato la presencia de estas extensiones y las desactiven, incluso en las instalaciones locales (on-premises), sin volver a activarlas hasta recibir nuevas instrucciones del proveedor. Recomienda revocar las sesiones de administración activas, renovar contraseñas y tokens, limitar los permisos sobre «Run Command» y «Shared Toolbox», examinar los registros en busca de conexiones inusuales, instalaciones no autorizadas o creación de cuentas de administrador, y no utilizar ScreenConnect para investigar equipos sospechosos. Las empresas deben preguntar a sus proveedores qué herramientas RMM utilizan y qué cuentas tienen accesos privilegiados.
Un punto esencial subrayado por la autoridad: la simple actualización del software no garantiza la eliminación de una posible vulneración. Es posible que se hayan instalado mecanismos de persistencia. ConnectWise, por su parte, continúa sus investigaciones e invita a sus socios a proteger sus entornos.
Para concluir
Esta campaña recuerda un patrón conocido en el sector: las herramientas de monitorización y gestión remota (RMM) y de acceso remoto, muy valoradas por su productividad, concentran riesgos de cadena de suministro. Incidentes anteriores (como los relacionados con otras soluciones de gestión remota) ya demostraron que comprometer un MSP permite llegar simultáneamente a numerosos clientes. En este caso, la rapidez (90 minutos para cientos de equipos) y la sofisticación de SCKit (persistencia, elusión de defensas, intento de propagación a través de los técnicos) refuerzan la urgencia.
Desde el punto de vista de ConnectWise, el incidente parece estar relacionado con el abuso de extensiones de terceros y no con un fallo en su producto principal. Los investigadores, por su parte, destacan la debilidad de autenticación en RMM+ y el diseño de SCKit. Al clasificar la alerta como crítica, la DGSSI insiste en la necesidad de una respuesta inmediata y en que la seguridad de los sistemas de una empresa también depende de la de sus socios.
Para las empresas, lo que está en juego va más allá de lo técnico: se trata de revisar los contratos con los proveedores, los controles de acceso, la segmentación y la supervisión de las actividades RMM. Una intrusión en un socio puede exponer sistemas sin que haya un fallo directo de sus propias protecciones. A escala macro, esto cuestiona la resiliencia de las cadenas de suministro digitales y la responsabilidad compartida entre proveedores de software, prestadores de servicios y clientes.
La investigación continúa. El vector inicial exacto y el alcance completo siguen bajo investigación. En un contexto en el que las herramientas de acceso remoto están en todas partes, esta alerta invita a una vigilancia reforzada, más allá de las simples actualizaciones.
Preguntas frecuentes
¿Confirma la DGSSI una vulneración de la infraestructura de ConnectWise?
No. La autoridad recoge las declaraciones de ConnectWise según las cuales, por el momento, nada permite concluir que su infraestructura haya sido comprometida ni que exista una vulnerabilidad en el propio ScreenConnect. El punto de entrada inicial sigue en investigación.
¿Basta con actualizar ScreenConnect para proteger los sistemas?
No. La DGSSI subraya que los atacantes pueden haber instalado mecanismos de persistencia. Es necesaria una verificación en profundidad (desactivación de extensiones, revocación de sesiones, análisis de registros).
¿Qué organizaciones son las más afectadas?
Aquellas que utilizan, o cuyos proveedores utilizan, la edición en la nube de ScreenConnect con extensiones de la familia RMM+ (Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link, RMM+ Password Link). Las instalaciones locales (on-premises) también deben revisarse.
¿Cuáles son los riesgos concretos para una empresa cliente de un MSP?
Acceso no autorizado a los sistemas, instalación de software malicioso, perturbación de las actividades o preparación de ataques más destructivos. Estos riesgos son potenciales y dependen del alcance de la vulneración en el proveedor.
