Il 22 ottobre 2026 ConnectWise riferì che i test e la convalida di sicurezza per il ripristino di Cloud Backup erano ancora in corso. L’accesso al ripristino dei backup, previsto per l’inizio della settimana successiva, dipendeva dal buon esito della convalida; il fornitore indicò ai partner di mantenere disattivate le connessioni interessate fino a nuove istruzioni formali.
Il ripristino di ConnectWise Cloud Backup al 22 ottobre
ConnectWise aveva comunicato le tappe del contenimento e del ripristino attraverso aggiornamenti datati. Il 22 ottobre il servizio non risultava ancora ripristinato: l’accesso previsto per recuperare i backup era subordinato alla convalida di sicurezza.
| Data dell’aggiornamento | Comunicazione di ConnectWise |
| 16 ottobre | ConnectWise pubblicò un avviso iniziale sui tentativi di accesso non autorizzato legati a Cloud Backup. |
| 17 ottobre | ConnectWise riferì di aver individuato accessi non autorizzati alle identità applicative di Cloud Backup e di aver interrotto l’accesso delle applicazioni. |
| 19 ottobre | ConnectWise comunicò di aver completato il ripristino degli account e delle credenziali nell’ambiente Cloud Backup interessato. |
| 21 ottobre | ConnectWise riferì che era iniziato un ripristino graduale, subordinato alla convalida di sicurezza. |
| 22 ottobre | ConnectWise disse che i test e la convalida proseguivano. L’accesso al ripristino dei backup, previsto per l’inizio della settimana successiva, restava subordinato al buon esito della convalida. |
ConnectWise dichiarò inoltre di non avere indicazioni che i propri archivi di backup, cifrati e isolati, fossero stati accessibili. La società precisò che gli ambienti Microsoft 365 dei singoli clienti richiedevano verifiche separate.
Come le identità applicative hanno aperto una via verso Microsoft 365
Il 21 ottobre Microsoft attribuì a Storm-0940 una campagna che ha sfruttato identità applicative cloud di ConnectWise già autorizzate per tentare l’accesso a tenant Microsoft 365. Microsoft descrive Storm-0940 come un attore allineato con lo Stato cinese e riferisce che ha usato ARTEX, un framework open source di test di penetrazione con più agenti basati su modelli linguistici.
Le applicazioni avevano già permessi concessi nei tenant. Di conseguenza, l’autenticazione tramite quelle identità non richiedeva l’accesso interattivo di un dipendente. Microsoft riferì tentativi di accesso a oltre 2.250 tenant. La cifra indica i tenant raggiunti dai tentativi, non il numero di compromissioni confermate. Microsoft osservò attività successive tramite Microsoft Graph e nella directory in più ambienti di clienti, tra cui ricognizione, modifiche alle credenziali di applicazioni e tentativi di modifica di identità, gruppi e ruoli privilegiati.
I tentativi falliti e l’attività delle applicazioni sono distinti
Tra il 10 e il 14 ottobre 2026 Microsoft osservò oltre 151.000 tentativi di accesso falliti contro 327 account in otto organizzazioni. In quel gruppo di attività non rilevò autenticazioni riuscite, emissioni di token, chiamate a Microsoft Graph o modifiche alla directory. Il picco fu di 2.900 tentativi falliti al minuto l’11 ottobre.
Questi risultati riguardano il gruppo di password spraying osservato in quei giorni. Microsoft descrisse separatamente l’abuso delle identità applicative di ConnectWise e attività successive in più ambienti dei clienti. In diversi casi attribuiti ad attacchi condotti con ARTEX, riferì che l’accesso privilegiato al cloud era stato ottenuto in meno di tre ore dall’inizio del targeting. Microsoft segnalò inoltre che le modifiche alle credenziali di un’applicazione possono restare attive anche dopo la correzione dell’applicazione compromessa.
Che cosa Microsoft ha raccomandato di controllare agli amministratori
Microsoft raccomandò di lasciare disattivate le connessioni interessate fino alle istruzioni formali di ripristino di ConnectWise e di non eliminare le applicazioni aziendali come primo intervento. Per individuare le attività, indicò di cercare gli identificativi delle applicazioni, anziché affidarsi ai soli nomi visualizzati, e di conservare i registri di accesso e audit di Microsoft Entra, i dati di Microsoft Purview Audit, i registri SIEM e la telemetria di Microsoft Graph.
Per l’analisi, Microsoft consigliò di esaminare almeno l’attività dal 15 ottobre e, dove disponibili, di estendere al 1° ottobre i controlli sugli accessi dei service principal, cioè le identità usate dalle applicazioni per autenticarsi. ConnectWise indicò l’ID applicativo 506e08f9-6e9a-4da4-942b-a099a03644ae per la ricerca nei registri degli accessi dei service principal. Microsoft raccomandò inoltre di controllare credenziali applicative aggiunte, nuove applicazioni o nuovi proprietari, concessioni di consenso, assegnazioni di ruoli, modifiche a utenti e gruppi e accessi insoliti a posta o file.
