Los atacantes lograron acceder a entornos Microsoft 365 aprovechando identidades de aplicaciones ConnectWise que las organizaciones habían autorizado, sin necesidad de la contraseña ni de la autenticación multifactor de los usuarios. Según Microsoft, el grupo Storm-0940 es responsable del compromiso, y una herramienta llamada ARTEX habría servido para acelerar varias etapas de la operación.
Un tenant, es decir, el espacio de trabajo de una organización en Microsoft 365, puede ser administrado por aplicaciones a las que se les han otorgado permisos. Quien controle estas identidades dispone, por tanto, en cada uno de estos tenants, de los derechos de la aplicación. En varios casos de la campaña llevada a cabo desde septiembre, transcurrieron menos de tres horas entre el primer objetivo y la obtención de un acceso privilegiado, según Microsoft, que no especifica si estas organizaciones eran clientes de ConnectWise.
Microsoft «estima» que Storm-0940 está detrás del compromiso, sin publicar un nivel de confianza. ConnectWise, por su parte, indicó no poder «discutir la atribución en esta etapa», antes de tomar nota, el 21 de octubre, de las conclusiones de Microsoft en la página de avisos de su Trust Center. Su página de estado no menciona ni a Storm-0940 ni a la IA.
ARTEX, una herramienta de código abierto con usos reportados
ARTEX es un sistema multiagente, es decir, un conjunto de programas de IA capaces de actuar de forma autónoma, escrito en Go y publicado en código abierto. Según una nota de la Cloud Security Alliance, fue subido el 26 de julio de 2026 por un desarrollador que firma como Autumn-27. CrowdStrike lo vinculó a principios de octubre con intrusiones en instituciones financieras surcoreanas. El 8 de octubre, el desarrollador habría retirado el proyecto de GitHub y anunciado el cese de las actualizaciones, pasando a código cerrado, pero una página del proyecto sigue pública al 22 de octubre.
Microsoft escribe que Storm-0940 utilizó ARTEX para acelerar el reconocimiento, el spraying de contraseñas (una misma contraseña común probada en una serie de cuentas) y el abuso de aplicaciones OAuth. ARTEX «puede usar cualquier modelo de IA» y conduce una intrusión desde el reconocimiento hasta la exfiltración «con poca interacción humana», según la misma publicación, que no especifica la parte humana de la operación ni el modelo utilizado. La campaña de spraying llevada a cabo del 10 al 14 de octubre de 2026 produjo más de 151.000 fallos contra 327 cuentas de ocho organizaciones, sin que se observara ninguna autenticación exitosa, según Microsoft.
Intentos y conexiones exitosas
Microsoft indica que el atacante intentó conectarse a más de 2.250 tenants, y que la mayoría de este objetivo fracasó. La empresa no da ningún número de tenants comprometidos y precisa que una autenticación exitosa «no indica necesariamente» un acceso a los datos o su exfiltración.
Huntress, un editor de seguridad, examinó más de 10.000 tenants equipados con aplicaciones ConnectWise. Contaba 162 con conexiones no autorizadas confirmadas el 16 de octubre, luego cerca de 1.000 objetivos desde una sola dirección IP el 17 de octubre, de los cuales más de 300 con una conexión exitosa. En una cincuentena de tenants monitoreados, las aplicaciones se atribuyeron roles de administración del directorio, principalmente el de administrador de Exchange.
ConnectWise reportó el 16 de octubre «intentos» de acceso al entorno Cloud Backup, el antiguo SkyKick. El 17 de octubre, el editor reconoció un acceso no autorizado a identidades de aplicación, desactivó siete y revocó los certificados correspondientes. El 19 de octubre, todas las cuentas e identificadores del entorno afectado fueron restablecidos. La recuperación por fases comenzó el 21 de octubre y debe durar «varios días». Los archivos de respaldo están «cifrados, aislados y preservados, sin indicios de compromiso», según la empresa, que encargó la investigación a un despacho externo que no nombra.
Microsoft recomienda, entre otras cosas, dejar desactivadas las conexiones ConnectWise afectadas, conservar los registros de Microsoft Entra y examinar la actividad desde al menos el 15 de octubre de 2026. ConnectWise indica que los tokens de acceso ya emitidos «pueden seguir siendo utilizables» hasta su expiración o invalidación.
