Microsoft atribuyó el 21 de octubre de 2026 a Storm-0940, un grupo que considera alineado con el Estado chino, el compromiso de ConnectWise Cloud Backup. También dijo que el grupo empleó ARTEX, un marco de pruebas de penetración con agentes de inteligencia artificial, para acelerar distintas fases de la campaña contra entornos de Microsoft 365.
La actividad incluyó dos vías distintas: una campaña de pulverización de contraseñas contra cuentas de usuario, que no logró autenticaciones correctas según Microsoft, y ataques posteriores mediante credenciales de aplicaciones de ConnectWise. Microsoft informó de intentos de inicio de sesión en más de 2.250 tenants, es decir, entornos de cliente, pero esa cifra no equivale a un recuento de organizaciones comprometidas.
Dos campañas con identidades distintas
La campaña de pulverización de contraseñas se dirigió a cuentas de usuario entre el 10 y el 14 de octubre de 2026. Microsoft registró más de 151.000 intentos fallidos contra 327 cuentas de ocho organizaciones. En esa campaña no observó autenticaciones correctas, emisión de tokens, llamadas a Microsoft Graph ni cambios en los directorios.
La actividad posterior aprovechó credenciales de aplicaciones de ConnectWise para autenticarse en entornos de clientes. Microsoft informó de intentos contra más de 2.250 tenants, con un pico de 2.900 intentos de inicio de sesión por minuto.
| Campaña | Identidad utilizada | Actividad descrita por Microsoft |
| Pulverización de contraseñas, del 10 al 14 de octubre | Cuentas de usuario | Más de 151.000 intentos fallidos contra 327 cuentas de ocho organizaciones; no hubo autenticaciones correctas ni actividad posterior en Graph o el directorio. |
| Campaña con aplicaciones de ConnectWise | Credenciales de aplicaciones | Intentos de inicio de sesión en más de 2.250 tenants, con un pico de 2.900 por minuto. Microsoft observó actividad posterior en varios entornos de clientes. |
Microsoft situó el uso de ARTEX por parte de Storm-0940 desde septiembre de 2026, como mínimo. ARTEX es un marco de código abierto que utiliza agentes basados en modelos de lenguaje para automatizar flujos de pruebas de penetración. Microsoft dijo que aceleró tareas como el reconocimiento, el análisis de sistemas, la pulverización de contraseñas y el abuso de aplicaciones OAuth.
Huntress informó por separado de 162 tenants con inicios de sesión no autorizados confirmados a las 19:00 UTC del 16 de octubre. Esa cifra corresponde a sus observaciones hasta ese momento; no es la misma medida que los intentos contra más de 2.250 tenants comunicados por Microsoft.
Qué actividad siguió a los inicios de sesión
Microsoft observó reconocimiento mediante Microsoft Graph, cambios en credenciales de aplicaciones e intentos de modificar privilegios en varios entornos de clientes. Huntress describió un caso concreto en el que una aplicación de ConnectWise se asignó el rol de Administrador global y añadió credenciales a otras dos aplicaciones.
Un inicio de sesión correcto no demuestra por sí solo que se accediera a datos o que estos se exfiltraran. Microsoft no comunicó cuántos clientes sufrieron acceso o robo de datos. Tampoco atribuyó las mismas acciones a todos los entornos afectados.
La respuesta de ConnectWise y qué revisar
ConnectWise dijo que identificó el acceso no autorizado a identidades de aplicaciones el 14 de octubre de 2026. La empresa suspendió Cloud Backup, revocó los certificados de las conexiones afectadas e invalidó las credenciales compartidas del servicio. En una actualización del 17 de octubre, afirmó que los archivos de copia de seguridad almacenados seguían cifrados y aislados, y que no tenía indicios de que se hubieran accedido. Esa declaración se refiere a los archivos de copia de seguridad, no a la actividad en los entornos Microsoft 365 de sus clientes.
Para revisar un tenant, Microsoft recomienda comprobar los inicios de sesión de entidades de servicio y los registros de auditoría relacionados con credenciales de aplicaciones, permisos, consentimientos, roles privilegiados y cambios de directorio. Huntress aconseja revisar también las integraciones de ConnectWise y SkyKick que sigan activas o estén inactivas, conservar los registros pertinentes y deshabilitar las conexiones de aplicaciones afectadas en vez de eliminarlas. La empresa recomienda no volver a habilitarlas hasta que ConnectWise confirme que sus credenciales se han restablecido.
