Microsoft atribuyó a Storm-0940, un grupo de hackers alineado con el Estado chino, el ataque a la cadena de suministro que comprometió la aplicación de respaldo en la nube de ConnectWise y afectó a más de 2.250 organizaciones en todo el mundo, según un informe publicado el 21 de octubre de 2026.
El grupo, activo desde 2021, usó desde septiembre un programa de pruebas de penetración basado en inteligencia artificial llamado ARTEX para automatizar ataques contra cientos de empresas de sectores como defensa, energía, finanzas, gobierno, manufactura y tecnología, según la compañía.
PUBLICIDAD
Storm-0940 es un actor estatal chino activo desde 2021 que suele obtener acceso inicial robando contraseñas y explotando aplicaciones expuestas a internet, antes de moverse dentro de los sistemas de sus víctimas con las cuentas comprometidas, de acuerdo con información de Microsoft.
En varios casos, el tiempo entre el primer intento de ingreso y la obtención de acceso privilegiado a la nube de una organización fue de menos de tres horas, según Microsoft. La empresa remarcó que la mayoría de los intentos fracasó, pero que el grupo logró acceso privilegiado en numerosas organizaciones en poco tiempo.
Igor Tsyganskiy, vicepresidente ejecutivo de Microsoft, escribió en una publicación en LinkedIn que el ataque contra ConnectWise es apenas “uno de muchos” episodios impulsados por inteligencia artificial que la compañía observa desde comienzos de octubre.
PUBLICIDAD
Una contraseña robada que abrió miles de cuentas
Entre el 10 y el 14 de octubre de 2026, la infraestructura de Storm-0940 lanzó una campaña automatizada de prueba de contraseñas contra 327 cuentas de ocho organizaciones que usan Microsoft 365 y Exchange Online. Microsoft registró más de 151.000 intentos fallidos de inicio de sesión, con un pico de 2.900 fallos por minuto el 11 de octubre.
Un día después, el 15 de octubre, comenzaron a conocerse los primeros reportes del ataque a ConnectWise, con indicios que coincidían con la misma dirección IP usada en la campaña anterior.
Microsoft indicó que los atacantes usaron ARTEX para intentar ingresar a más de 2.250 clientes de la aplicación a un ritmo de 2.900 intentos por minuto, una velocidad que no deja tiempo a los equipos de seguridad para reaccionar.
PUBLICIDAD
La aplicación comprometida, ConnectWise Cloud Backup, permite respaldar datos de Microsoft 365 y Google Workspace y es compartida por miles de clientes. Por tratarse de una aplicación de uso compartido, quien controlara sus credenciales podía pedir acceso a cualquier cuenta corporativa donde estuviera instalada, sin que la víctima lo autorizara, según explicó la firma de ciberseguridad Huntress.
Puertas traseras tras la entrada inicial
Una vez dentro, los agentes de inteligencia artificial que operaban para Storm-0940 fueron más allá de la autenticación: hicieron tareas de reconocimiento, modificaron credenciales de otras aplicaciones e intentaron cambiar permisos de identidades y grupos con privilegios elevados, según Microsoft. Esos cambios pueden funcionar como una puerta trasera activa incluso después de corregir la aplicación comprometida originalmente.
Huntress, la firma que detectó la actividad maliciosa antes de que Microsoft confirmara su origen, había identificado accesos desde casi 1.000 cuentas corporativas y confirmó ingresos no autorizados en 162 de ellas. Más de 300 intentos de acceso resultaron exitosos, de acuerdo con la compañía.
PUBLICIDAD
Un programa de código abierto al servicio del espionaje
ARTEX es un sistema de código abierto compuesto por varios agentes de inteligencia artificial capaces de ejecutar de forma autónoma un ataque completo, desde el reconocimiento inicial hasta el robo de datos, con mínima intervención humana.
Según Microsoft, la herramienta funciona con cualquier modelo de IA y también fue usada en octubre por otros grupos, entre ellos los responsables de filtraciones de datos personales en entidades financieras de Corea del Sur.
La embajada de China en Washington no respondió a los pedidos de comentario sobre el informe. El gobierno chino niega habitualmente las acusaciones de robo de datos mediante ataques informáticos.
PUBLICIDAD
ConnectWise suspendió el sábado 17 de octubre los servicios de Cloud Backup, Cloud Management y SaaS Security para contener el ataque y comenzó a restablecerlos de manera gradual el 21 de octubre. La empresa pidió a sus clientes mantener las conexiones desactivadas y estimó que el proceso de recuperación demandará varios días más.
PUBLICIDAD