Nell’aggiornamento del 23 ottobre sull’attacco alla supply chain di ConnectWise, l’azienda riferiva che i test di ripristino di Cloud Backup e la convalida di sicurezza erano ancora in corso. ConnectWise prevedeva di completarli entro la fine del fine settimana; l’accesso al ripristino dei backup era atteso all’inizio della settimana successiva, solo in caso di convalida positiva.
ConnectWise ha dichiarato che gli archivi di backup esistenti restavano cifrati, isolati e conservati, senza indicazioni di compromissione. Questa dichiarazione riguarda gli archivi conservati: nell’analisi pubblicata il 21 ottobre, Microsoft ha descritto attività in alcuni ambienti Microsoft 365 dei clienti.
Il ripristino dipendeva dai test di sicurezza
ConnectWise aveva disattivato sette identità applicative il 17 ottobre e completato il reset degli account e delle credenziali nell’ambiente Cloud Backup interessato il 19 ottobre. L’azienda aveva sospeso anche SaaS Security e Cloud Management perché integrati con Cloud Backup; aveva inoltre dichiarato di non avere indicazioni di impatto sulle altre offerte.
Per i numeri degli accessi ai tenant Microsoft 365 osservati durante l’incidente, la precedente ricostruzione di NeoTeo offre il contesto delle fasi iniziali.
Wiz ha osservato tentativi contro altri fornitori
Wiz ha segnalato attività di ricognizione su applicazioni e percorsi API, verifiche di endpoint SSO e Microsoft 365 e tentativi di recupero degli account presso diversi fornitori software. Le osservazioni includevano Okta, Microsoft Entra ID e AWS Cognito, oltre a test su callback OAuth, token JWT non firmati, registrazioni con indirizzi email temporanei e isolamento tra tenant. Wiz ha riferito che la maggior parte dei tentativi osservati è fallita.
Secondo Wiz, alcune sessioni osservate sono durate 24–30 ore; dopo il blocco di alcuni indirizzi IP, ne sono comparsi di nuovi nel giro di pochi minuti. Sono tentativi osservati in ambienti di fornitori, non la prova che tutti gli obiettivi siano stati compromessi.
Microsoft distingue le due fasi dell’attività
Microsoft valuta che Storm-0940, un attore allineato allo Stato cinese, sia responsabile della compromissione di ConnectWise. Secondo Microsoft, l’attore ha usato ARTEX, un framework autonomo di penetration testing basato su IA agentica, per accelerare scansione, ricognizione, password spraying e abuso di applicazioni OAuth.
Dal 10 al 14 ottobre 2026 Microsoft ha osservato una campagna di password spraying contro 327 account in otto organizzazioni, con oltre 151.000 eventi di accesso non riuscito. In quella fase non ha rilevato autenticazioni riuscite, emissioni di token, chiamate a Microsoft Graph o modifiche alla directory.
Una fase distinta è iniziata il 15 ottobre: Microsoft riferisce che gli attori hanno cominciato a usare le identità di più applicazioni cloud ConnectWise per autenticarsi negli ambienti dei clienti. Microsoft ha associato all’attività ARTEX oltre 2.250 tentativi di accesso ai tenant. In alcuni ambienti ha osservato ricognizione, modifiche alle credenziali applicative e cambiamenti a identità, gruppi e ruoli privilegiati.
La presenza di un’applicazione coinvolta o un’autenticazione riuscita non dimostrano, da sole, che i dati dei clienti siano stati consultati o esfiltrati.
