ConnectWise anticipó el 23 de octubre de 2026 una restauración gradual de sus servicios y condicionó el acceso para restaurar copias de seguridad a que terminaran las pruebas y la validación de seguridad. Microsoft había atribuido a Storm-0940 una operación vinculada a ConnectWise que intentó iniciar sesión en más de 2.250 entornos de Microsoft 365; la mayoría de los objetivos no tuvo éxito.
Qué mide la cifra de más de 2.250 entornos
Microsoft atribuyó a Storm-0940, un actor alineado con el Estado chino, el acceso no autorizado a identidades de aplicaciones de ConnectWise. Después, el grupo usó aplicaciones que ya tenían permisos para acceder a entornos de clientes e intentó autenticarse en más de 2.250 tenants de Microsoft 365. Un tenant es el entorno independiente de una organización dentro del servicio.
La cifra cuenta intentos, no organizaciones confirmadas como víctimas. Microsoft señaló que la mayoría de los objetivos no tuvo éxito, aunque observó actividad posterior en varios entornos. En algunos ataques, Storm-0940 llegó a obtener acceso privilegiado a infraestructura en la nube en menos de tres horas desde la selección inicial del objetivo. Microsoft también advirtió que una aplicación afectada o una autenticación exitosa no demuestra por sí sola que se accediera a datos de clientes o que estos se exfiltraran.
Dos operaciones con resultados distintos
Microsoft separó el abuso de las identidades de aplicaciones de ConnectWise de otra campaña de password spraying, una técnica que prueba contraseñas contra varias cuentas. La segunda operación tuvo lugar entre el 10 y el 14 de octubre de 2026; el máximo de 2.900 intentos fallidos por minuto se registró en esa campaña, no en la de ConnectWise.
| Operación | Periodo y método | Alcance y resultado reportados por Microsoft |
| Abuso de aplicaciones de ConnectWise | Tras el control de identidades de aplicaciones con permisos ya concedidos | Intentos de acceso a más de 2.250 entornos; la mayoría de los objetivos no tuvo éxito y se observó actividad posterior en varios entornos. Algunos ataques alcanzaron acceso privilegiado en menos de tres horas. |
| Password spraying | Del 10 al 14 de octubre de 2026; intentos de contraseñas contra cuentas de varias organizaciones | 327 cuentas en ocho organizaciones y más de 151.000 inicios de sesión fallidos. El 11 de octubre se alcanzaron 2.900 fallos por minuto. No se observaron autenticaciones exitosas, emisión de tokens, llamadas a Graph ni cambios de directorio. |
Cómo se usaron ARTEX y las aplicaciones autorizadas
Microsoft describió ARTEX como un framework de pruebas de penetración de código abierto y multiagente que emplea modelos de lenguaje para automatizar tareas ofensivas con poca intervención humana. En esta operación, el framework aceleró el reconocimiento, el password spraying y el abuso de aplicaciones OAuth, un sistema que permite a una aplicación acceder a recursos con permisos concedidos previamente.
Como las aplicaciones de ConnectWise ya tenían acceso a los entornos de sus clientes, los atacantes no necesitaron que cada usuario iniciara sesión de forma interactiva. Microsoft observó reconocimiento mediante Microsoft Graph, cambios en credenciales de aplicaciones e intentos de modificar identidades, grupos y roles privilegiados. Esos cambios pueden facilitar que un atacante amplíe o mantenga el acceso.
Qué suspendió ConnectWise y qué dijo de las copias
ConnectWise suspendió Cloud Backup, SaaS Security y Cloud Management, y el 19 de octubre comunicó que había restablecido las cuentas y credenciales del entorno afectado de Cloud Backup. Durante la interrupción quedaron detenidos los trabajos de copia de seguridad y no se podía acceder a los archivos almacenados ni restaurarlos.
La empresa dijo que los archivos existentes seguían cifrados, aislados y preservados, sin indicios de acceso. Esa información se refería a las copias almacenadas por ConnectWise; la actividad en un entorno Microsoft 365 activo de cada cliente requería una revisión propia.
En su actualización del 23 de octubre, ConnectWise proyectó completar las pruebas y la validación antes de acabar ese fin de semana. Si se superaban, esperaba habilitar a comienzos de la semana siguiente el acceso para restaurar copias existentes y, después, iniciar una reincorporación gradual de los servicios.
Qué recomendó revisar Microsoft
Microsoft recomendó revisar los inicios de sesión de las entidades de servicio, las identidades no humanas que representan a las aplicaciones, junto con la actividad posterior en Microsoft Graph y el directorio. También aconsejó buscar credenciales de aplicaciones añadidas de forma inesperada, cambios de privilegios, asignaciones de roles y accesos a recursos, y conservar los registros pertinentes.
ConnectWise pidió mantener deshabilitadas las conexiones afectadas hasta recibir instrucciones formales para volver a habilitarlas.
