ConnectWise comunicó el 23 de octubre de 2026 que las pruebas de restauración y la validación de seguridad de Cloud Backup seguían en curso. La empresa preveía terminar ambas tareas antes de acabar ese fin de semana y permitir el acceso a la restauración de copias de seguridad a comienzos de la semana siguiente, siempre que la validación concluyera con éxito. Era un calendario previsto, no una restauración ya completada.

ConnectWise dijo también que sus archivos de copia de seguridad existentes permanecían cifrados, aislados y preservados, sin indicios de que hubieran sido comprometidos. Esa declaración se refiere a los archivos almacenados. Microsoft, por separado, observó actividad en entornos Microsoft 365 de clientes.

La restauración dependía de las pruebas de seguridad

El aviso de ConnectWise, publicado a la 01:00 UTC del 23 de octubre, situó la validación y las pruebas de restauración como pasos previos al acceso. La empresa anticipaba que la recuperación del servicio se haría por fases tras esas comprobaciones.

ConnectWise había suspendido el acceso a Cloud Backup el 17 de octubre y el 19 de octubre completó un restablecimiento de las cuentas y credenciales del entorno afectado. El incidente concierne a Cloud Backup, antes SkyKick. La compañía dijo que no tenía indicios de que otros productos, servicios u ofertas se hubieran visto afectados; también suspendió SaaS Security y Cloud Management por su integración con Cloud Backup.

Para conocer el contexto de la actividad de inicio de sesión en Microsoft 365, puedes consultar la cobertura anterior de NeoTeo sobre las cifras de acceso.

Wiz observó intentos contra otros proveedores

Wiz describió actividad relacionada con ARTEX en entornos de varios proveedores de software. Entre los métodos observados figuraban la búsqueda de rutas de API y mapas de código fuente, pruebas de rutas de autenticación OAuth y de tokens JWT sin firma, registros con direcciones de correo temporales y sondeos de recuperación de cuentas. La actividad también incluyó intentos contra Okta, Microsoft Entra ID y AWS Cognito. Wiz dijo que la mayoría de los intentos que observó fracasó.

ARTEX es un marco de pruebas de penetración con inteligencia artificial agéntica. Microsoft afirma que Storm-0940, un actor alineado con el Estado chino según la evaluación de la compañía, lo utilizó para acelerar tareas como el reconocimiento, el escaneo, los ataques de pulverización de contraseñas y el abuso de aplicaciones OAuth. La atribución a Storm-0940 es la evaluación de Microsoft.

Wiz también observó sesiones de entre 24 y 30 horas en algunos casos y señaló que, cuando se bloqueaban direcciones IP, aparecían otras nuevas en cuestión de minutos. Son observaciones de intentos en los entornos analizados por Wiz, no un recuento de proveedores comprometidos.

Microsoft separó dos fases de actividad

Microsoft situó entre el 10 y el 14 de octubre de 2026 una campaña de pulverización de contraseñas contra 327 cuentas de ocho organizaciones. La técnica prueba contraseñas frente a varias cuentas; Microsoft registró más de 151.000 intentos fallidos y no observó autenticaciones exitosas, emisión de tokens, llamadas a Microsoft Graph ni cambios en directorios durante esa fase.

A partir del 15 de octubre, según Microsoft, los atacantes comenzaron a usar identidades de varias aplicaciones en la nube de ConnectWise para autenticarse en entornos de clientes. Microsoft informó de más de 2.250 intentos de inicio de sesión en tenants asociados a la actividad de ARTEX y observó, en algunos entornos, reconocimiento y cambios en credenciales de aplicaciones, identidades, grupos y roles privilegiados.

Microsoft advierte que la presencia de una aplicación afectada o una autenticación exitosa no demuestra por sí sola que se accediera a datos de clientes o que se los exfiltrara.