✨︎ Resumen (TL;DR):
- Microsoft atribuyó el ataque contra ConnectWise Cloud Backup a Storm-0940, un grupo alineado con el Estado chino, el 21 de octubre de 2026.
- Los atacantes intentaron iniciar sesión contra más de 2,250 entornos de organizaciones, pero la cifra no confirma víctimas ni robos de datos.
- Deshabilitar las aplicaciones de ConnectWise no elimina las credenciales que pudieron añadirse dentro de cada entorno de Microsoft 365.
Microsoft atribuyó el 21 de octubre de 2026 el ataque contra ConnectWise Cloud Backup a Storm-0940, un grupo que identifica como alineado con el Estado chino. Los atacantes utilizaron agentes de inteligencia artificial y aplicaciones que los clientes ya habían autorizado para acelerar el acceso a entornos de Microsoft 365. Microsoft reportó intentos de inicio de sesión contra más de 2,250 tenants, una cifra que describe los objetivos de los intentos, no un total confirmado de víctimas o robos de datos.
ARTEX aceleró el acceso mediante aplicaciones autorizadas
ARTEX es una herramienta de pruebas de seguridad que automatiza tareas con modelos de IA. Microsoft reportó que Storm-0940 la empleó para acelerar los ataques.
Los atacantes usaron aplicaciones que las organizaciones ya habían autorizado. Esa ruta aprovechó permisos existentes dentro de los entornos de Microsoft 365, de acuerdo con la investigación de Microsoft.
ConnectWise considera que la evidencia disponible, incluida la inteligencia compartida por Microsoft, apunta a un grupo alineado con China. En respuesta a Reuters, la Embajada de China en Washington afirmó que su país combate las actividades de hacking y rechazó lo que considera ataques y difamaciones bajo el pretexto de la ciberseguridad.
Desconectar Cloud Backup no borra todos los accesos
Cloud Backup, antes conocido como SkyKick, permite a proveedores de servicios tecnológicos respaldar los datos de sus clientes. Según Huntress, esa función requiere permisos amplios sobre correo, OneDrive, SharePoint, Teams y directorios de Microsoft 365.
Una credencial comprometida del proveedor permitió utilizar los permisos que esas organizaciones ya habían concedido a la aplicación. Huntress documentó actividad posterior al acceso en dos entornos de clientes.
En ambos, una aplicación recibió el rol de administrador global y añadió credenciales a otras aplicaciones para conservar una vía de entrada. Huntress advirtió que deshabilitar las aplicaciones de ConnectWise deja pendientes esas credenciales añadidas.
La recuperación separa dos trabajos:
- ConnectWise puede contener las conexiones del proveedor y restablecer el servicio.
- Los administradores de cada cliente deben investigar los cambios dentro de su propio entorno.
ConnectWise restaura servicios por fases
ConnectWise comenzó a restaurar servicios de forma controlada el 21 de octubre de 2026 y calcula que el proceso tomará varios días. La compañía somete cada etapa a una validación de seguridad.
ConnectWise sostiene que sus archivos de respaldo permanecen cifrados, aislados y preservados, sin indicios de compromiso. Esa evaluación se refiere a los archivos almacenados y no resuelve el estado de cada entorno de Microsoft 365.
Por ahora, ConnectWise indica mantener deshabilitadas las conexiones afectadas hasta recibir las indicaciones formales correspondientes a cada servicio, mientras continúa la revisión de los entornos de los clientes.
La restauración del proveedor no sustituye la investigación que cada cliente debe hacer dentro de su propio tenant. Aunque los archivos de respaldo no muestren indicios de compromiso, cada administrador aún debe revisar los cambios y las credenciales añadidas en su entorno.
