Nell’aggiornamento del 23 ottobre 2026, ConnectWise ha descritto un ripristino graduale e subordinato a verifiche dei servizi sospesi dopo l’accesso non autorizzato alle identità applicative di Cloud Backup. Microsoft aveva attribuito la compromissione a Storm-0940 e riferito tentativi di accesso a oltre 2.250 tenant Microsoft 365: la maggior parte dei tentativi di targeting non è riuscita, mentre in più ambienti è stata osservata attività successiva.
Che cosa misura il dato sui tenant
I 2.250 tenant indicano l’ampiezza dei tentativi di accesso, non un conteggio di ambienti compromessi. Microsoft ha riferito che la maggior parte dei tentativi non ha avuto successo e ha descritto attività successive in più ambienti. In alcuni casi, gli attacchi hanno raggiunto privilegi elevati nel cloud; per diversi episodi ciò è avvenuto in meno di tre ore dal targeting iniziale.
Microsoft ha inoltre precisato che il coinvolgimento di un’applicazione o un’autenticazione riuscita, da soli, non bastano a concludere che i dati dei clienti siano stati consultati o esfiltrati.
Due operazioni distinte
Il picco di 2.900 tentativi falliti al minuto riguarda una campagna separata di password spraying, non l’abuso delle identità applicative ConnectWise. Nel password spraying gli aggressori provano password comuni su più account; Microsoft ha collocato il picco l’11 ottobre 2026.
| Operazione | Periodo | Metodo | Portata ed esito riferiti da Microsoft |
| Abuso delle identità applicative ConnectWise | Dal 15 ottobre 2026 | Uso di identità applicative ConnectWise già autorizzate per raggiungere gli ambienti dei clienti | Tentativi di accesso a oltre 2.250 tenant; la maggior parte dei tentativi di targeting non è riuscita. Microsoft ha osservato attività successiva in più ambienti e accessi a privilegi elevati in alcuni casi. |
| Password spraying | Dal 10 al 14 ottobre 2026 | Tentativi ripetuti di accesso a più account | 327 account in otto organizzazioni e oltre 151.000 accessi falliti; più di 111.000 in un solo giorno. Quarantotto account hanno ricevuto oltre 1.000 tentativi falliti ciascuno. Microsoft ha attribuito a questa campagna il picco di 2.900 al minuto e non ha osservato autenticazioni riuscite, emissioni di token, chiamate Graph o modifiche alla directory. |
Il ruolo di ARTEX e delle app autorizzate
Microsoft descrive ARTEX come un framework open source per penetration test, basato su più agenti e su modelli linguistici di grandi dimensioni. Il framework può automatizzare attività offensive, dalla ricognizione fino all’esfiltrazione dei dati. In questa campagna, Microsoft riferisce che Storm-0940 lo ha usato per automatizzare scansione, ricognizione, password spraying e abuso di applicazioni OAuth.
Il passaggio chiave è stato l’uso di applicazioni ConnectWise che avevano già accesso agli ambienti dei clienti: non servivano accessi interattivi da parte dei singoli utenti. Microsoft ha osservato ricognizione tramite Microsoft Graph, modifiche alle credenziali delle applicazioni e tentativi di cambiare identità, gruppi e ruoli privilegiati.
Che cosa è successo ai servizi e agli archivi ConnectWise
ConnectWise ha disabilitato sette identità applicative, reimpostato account e credenziali nell’ambiente Cloud Backup coinvolto e sospeso Cloud Backup, SaaS Security e Cloud Management. Durante la sospensione non erano disponibili le attività di backup, l’accesso agli archivi e il ripristino.
Negli aggiornamenti fino al 23 ottobre, ConnectWise ha dichiarato che gli archivi esistenti erano rimasti cifrati, isolati e conservati, senza indicazioni di accesso. Questa dichiarazione riguarda gli archivi di backup conservati da ConnectWise; non descrive l’attività nei singoli ambienti Microsoft 365 dei clienti.
ConnectWise aveva annunciato l’avvio del ripristino controllato il 21 ottobre. Nell’aggiornamento del 23 ottobre, l’accesso al ripristino degli archivi era indicato come obiettivo per l’inizio della settimana successiva, subordinato alla validazione; il successivo ripristino completo dei servizi era previsto per fasi.
I controlli consigliati agli amministratori
Microsoft ha raccomandato agli amministratori di esaminare gli accessi delle entità di servizio e le attività successive in Microsoft Graph e nella directory. Tra gli elementi da controllare ci sono nuove credenziali applicative, assegnazioni di ruoli privilegiati e accessi alle risorse; Microsoft ha anche indicato di conservare registri ed evidenze.
ConnectWise ha chiesto di lasciare disabilitate le connessioni coinvolte fino a quando non fossero comunicate istruzioni formali per la riattivazione.
