ConnectWise comunicó el 22 de octubre que las pruebas de restauración de Cloud Backup y la validación de seguridad seguían avanzando. La empresa preveía habilitar el acceso para restaurar copias a comienzos de la semana siguiente, siempre que la validación concluyera satisfactoriamente. En su aviso, pidió mantener desactivadas las conexiones afectadas hasta recibir instrucciones específicas.
La recuperación de Cloud Backup seguía sujeta a validación
ConnectWise confirmó el 17 de octubre que se había producido un acceso no autorizado a identidades de aplicaciones de Cloud Backup y que había desactivado el acceso al servicio. El 19 de octubre comunicó que había restablecido las cuentas y credenciales del entorno afectado. La restauración gradual comenzó el 21 de octubre, supeditada a la validación de seguridad; al día siguiente, las pruebas seguían en curso. ConnectWise publicó sus actualizaciones de recuperación.
La empresa también dijo que no tenía indicios de acceso a sus archivos de respaldo cifrados y aislados. Por separado, señaló que los entornos Microsoft 365 de sus clientes requerían revisión.
Cómo las identidades de aplicaciones abrieron una vía hacia Microsoft 365
En un informe publicado el 21 de octubre, Microsoft atribuyó la campaña a Storm-0940, un actor que describió como alineado con el Estado chino. Según Microsoft, el grupo usó el marco de pruebas de penetración ARTEX y controló identidades de aplicaciones en la nube de ConnectWise para intentar iniciar sesión en más de 2.250 tenants, es decir, entornos de Microsoft 365 de distintas organizaciones.
Las aplicaciones ya tenían permisos concedidos, por lo que podían autenticarse sin que un empleado iniciara sesión de forma interactiva. Microsoft observó después actividad en Microsoft Graph y en los directorios de varios clientes: reconocimiento, cambios en credenciales de aplicaciones e intentos de modificar identidades, grupos y roles con privilegios. En varios ataques, añadió, se obtuvo acceso privilegiado a la nube en menos de tres horas desde el inicio de la selección de objetivos. Microsoft describió ARTEX como un marco de código abierto con varios agentes de IA que puede automatizar tareas de pruebas de penetración con poca intervención humana.
Los más de 2.250 tenants corresponden a intentos de inicio de sesión, no a una cifra de organizaciones comprometidas. Microsoft informó de actividad posterior en varios entornos y advirtió que la presencia de una aplicación afectada o una autenticación exitosa, por sí solas, no prueban que se accediera a datos o se exfiltraran.
Los intentos fallidos del 10 al 14 de octubre fueron otro conjunto
Microsoft registró más de 151.000 intentos de inicio de sesión fallidos entre el 10 y el 14 de octubre de 2026, contra 327 cuentas de ocho organizaciones. En ese conjunto concreto, no observó autenticaciones exitosas, emisión de tokens, llamadas a Microsoft Graph ni cambios en los directorios.
Ese resultado corresponde a la campaña de intentos fallidos y es distinto del abuso posterior de identidades de aplicaciones de ConnectWise. Por tanto, los fallos registrados en octubre no describen por sí solos la actividad posterior que Microsoft observó en varios entornos de clientes.
Qué recomendó Microsoft revisar a los administradores
Microsoft recomendó no eliminar las aplicaciones empresariales como primera medida y buscar por identificador de aplicación, no solo por nombre visible. ConnectWise señaló que el identificador de Cloud Backup que debía revisarse en los registros de inicio de sesión de principales de servicio de Microsoft Entra es 506e08f9-6e9a-4da4-942b-a099a03644ae.
La orientación de Microsoft también incluye conservar los registros de inicio de sesión y auditoría de Entra, los registros de Microsoft Purview Audit, los datos del SIEM y la telemetría de Graph. Para la revisión, aconsejó analizar la actividad desde al menos el 15 de octubre y ampliar hasta el 1 de octubre los registros de inicio de sesión de principales de servicio cuando estén disponibles. Entre los cambios que conviene examinar figuran nuevas credenciales o aplicaciones, propietarios, concesiones de consentimiento, asignaciones de roles y modificaciones de usuarios o grupos. Microsoft detalló estas medidas para administradores.
