Microsoft: un grupo alineado con China atacó con IA a los clientes de ConnectWise
Microsoft le puso nombre al ataque contra ConnectWise Cloud Backup (el servicio de respaldo de Microsoft 365 que antes se llamaba SkyKick): su equipo de inteligencia de amenazas evalúa que fue Storm-0940, un actor alineado con el Estado chino. Y le agregó un detalle que explica la velocidad del caso: según el informe que publicó el 21 de octubre, el grupo usó ARTEX, una herramienta de código abierto que encadena agentes de inteligencia artificial para automatizar ataques, y con ella apuntó desde al menos septiembre a cientos de organizaciones en todo el mundo. En varios casos, dice Microsoft, pasó de elegir un objetivo a tener acceso privilegiado a su nube en menos de 3 horas.
Qué hacer hoy: si tu empresa tiene Microsoft 365 y tu proveedor de IT usa ConnectWise Cloud Backup o SkyKick, la revisión no terminó. Microsoft pide dejar deshabilitadas las aplicaciones de ConnectWise hasta que el fabricante publique las instrucciones para reconectarlas, buscarlas por su identificador de aplicación y no por el nombre (sumando las siete que apagó ConnectWise y una que agrega Microsoft, SkyKick Partner Portal, son ocho), y revisar los inicios de sesión de esas aplicaciones desde el 1 de octubre si tus registros llegan hasta ahí. Los pasos están más abajo; el detalle de cada aplicación, en qué revisar si usás ConnectWise Cloud Backup (nota del 17 de octubre). Si no usás nada de ConnectWise, la lección igual vale: revisá qué aplicaciones de terceros tienen permisos amplios en tu Microsoft 365, porque esa confianza es justamente lo que se aprovechó. Y si tenés Microsoft 365 Personal o Familia en tu casa, esto no va con vos: el servicio afectado es para que los proveedores de IT respalden el Microsoft 365 de empresas.
Qué dice Microsoft
El informe es de Microsoft Threat Intelligence, publicado en el blog de seguridad de Microsoft el 21 de octubre de 2026. Estos son los datos centrales:
| Tema | Qué dice el informe |
|---|---|
| Quién | Storm-0940, «alineado con el Estado chino», sin otros nombres conocidos en la industria, activo desde 2021. Busca robar datos y suele entrar adivinando contraseñas o aprovechando aplicaciones expuestas a internet. Microsoft evalúa que fue el responsable del ataque a la cadena de suministro de ConnectWise. |
| A quiénes | Cientos de organizaciones de todo el mundo, de sectores como aeroespacial y defensa, energía, finanzas, gobierno, legal, militar, manufactura, software y tecnología, entre otros, además de centros de pensamiento (think tanks) y organizaciones sin fines de lucro. La mayoría de los intentos no prosperó, pero logró acceso persistente y privilegiado en muchas organizaciones en poco tiempo. |
| La campaña previa | Del 10 al 14 de octubre, desde la dirección 144.172.64.99, un intento automatizado de adivinar contraseñas contra 327 cuentas de ocho organizaciones: más de 151.000 inicios de sesión fallidos, con un pico de 2.900 por minuto el 11 de octubre. Microsoft no vio ningún acceso exitoso, y la vincula con el ataque a ConnectWise por la infraestructura compartida. |
| El golpe | Con las identidades de varias aplicaciones de ConnectWise en su poder, el atacante entró a entornos de clientes que ya confiaban en esas aplicaciones, sin necesidad de que una persona iniciara sesión. Después de ese acceso indebido, que ConnectWise informó públicamente el 16 de octubre, usó ARTEX para alcanzar más de 2.250 entornos de Microsoft 365, a razón de 2.900 intentos de inicio de sesión por minuto. El informe no dice en cuántos de ellos logró entrar. |
| Qué hizo adentro | En algunos entornos, reconocimiento a través de Microsoft Graph, cambios en las credenciales de aplicaciones para quedarse y cambios en identidades, grupos y roles privilegiados. Microsoft advierte que esos cambios pueden seguir funcionando como puerta trasera aunque la aplicación original ya esté resuelta. |
| Lo que no implica | Que la aplicación esté instalada, o incluso que el atacante haya iniciado sesión, no significa necesariamente que haya leído o sacado datos. Y Microsoft aclara que nada de esto salió de una intrusión o de una vulnerabilidad en sus propios sistemas, productos o servicios. |
Qué es ARTEX y por qué importa la velocidad
Según Microsoft, ARTEX es un marco de pruebas de penetración de código abierto: una herramienta pensada, en teoría, para que un equipo de seguridad ataque sus propios sistemas y encuentre agujeros antes que otro. Funciona con cualquier modelo de IA y reparte el trabajo entre varios agentes que hacen una prueba completa, desde el reconocimiento hasta la extracción de datos, con poca intervención humana. Su interfaz viene en inglés y se puede pasar a coreano, mandarín, japonés o español. Microsoft cita informes públicos de octubre sobre su uso en robos de datos personales a instituciones financieras de Corea, y dice haber identificado a actores de varias regiones que la usan.
En este caso, según Microsoft, el atacante la usó para acelerar el escaneo y el reconocimiento, el intento masivo de contraseñas y el abuso de las aplicaciones de ConnectWise en los clientes. El informe no dice que la IA haya intervenido en cómo se consiguieron las credenciales de ConnectWise. El argumento de Microsoft es de velocidad, no de magia: una campaña automatizada así genera muchísimo ruido en los registros y puede disparar alertas, pero va tan rápido que al defensor le queda muy poco tiempo para reaccionar de forma coordinada. Los agentes, dice el informe, pueden trabajar de corrido, los fines de semana y los feriados. Ni aguinaldo piden.
Qué revisar, según Microsoft
Esto es para vos si administrás un Microsoft 365 donde estuvieron instaladas o autorizadas las aplicaciones de ConnectWise o SkyKick, aunque ya no las uses. Se hace desde el Centro de administración de Microsoft Entra y los registros de Microsoft 365, con una cuenta de administrador. Si no administrás vos el Microsoft 365 de tu empresa, pasale esta lista a tu proveedor de IT y preguntale si ya la hizo:
- Deshabilitá, no borres. En Aplicaciones empresariales, las aplicaciones de ConnectWise o SkyKick quedan deshabilitadas (en Propiedades, el inicio de sesión de usuarios en «No») hasta que ConnectWise publique cómo reconectarlas. Microsoft pide no eliminarlas como primera respuesta: borrar es irreversible y se lleva configuración y evidencia.
- Guardá los registros ya. Inicios de sesión y auditoría de Entra, auditoría de Microsoft Purview y lo que tengas en otras herramientas, sin frenar la contención mientras se exportan. Apurate: según ConnectWise, Entra suele guardar esos registros siete días en la versión gratuita y 30 en P1 o P2.
- Buscalas por identificador, no por nombre. En Aplicaciones empresariales, filtrá por Id. de aplicación. Las cuatro que lista Microsoft, con los nombres de su informe, son ConnectWise Cloud Backup (
506e08f9-6e9a-4da4-942b-a099a03644ae), ConnectWise – MS Teams (24205314-2b89-4e07-a2a4-579e898a5640), ConnectWise – MS Graph (0de14c77-b9b0-4137-9360-34878a929827) y SkyKick Partner Portal (c921256f-04a7-44e8-9b2a-69c33929ba19), que no figura en el aviso de ConnectWise. ConnectWise, por su parte, apagó siete; además de las tres primeras, son Cloud Management (2399d300-6fca-4e6a-a686-399fefe75b83), Exchange Online (b78f6a77-d4e5-46fb-87e5-d1648bd02519), Partner Center (412dcf96-176d-4b3a-a1b0-4981ad66971e) y SharePoint Online (b2b55f5b-7758-4719-8d8f-88ae172e6bdb). Revisá las ocho y anotá en cada entorno el identificador de objeto local de cada una. - Revisá desde el 15 de octubre, y desde el 1 si podés. Mirá los inicios de sesión de esas aplicaciones (en la pestaña de entidades de servicio), los exitosos y los fallidos por separado, y no te limites a las direcciones publicadas.
- Buscá lo que se agregó. En los registros de auditoría: credenciales nuevas en aplicaciones o entidades de servicio, aplicaciones o propietarios nuevos, asignaciones de roles de aplicación y consentimientos, roles privilegiados, y cambios en usuarios, grupos, métodos de autenticación o acceso condicional. En la auditoría de Microsoft 365, buscá también reconocimiento desde direcciones raras: listados del directorio, de permisos y de aprobaciones.
- Revisá el correo y los archivos. Accesos o descargas raros, reenvíos, reglas de bandeja de entrada o de transporte y permisos delegados sobre buzones.
- Limpiá con la evidencia a salvo. Si confirmás actividad sospechosa, revocá los permisos que sobran, cambiá las credenciales y que alguien autorizado borre lo que se agregó sin permiso.
Las direcciones que Microsoft publica como indicadores son 144.172.64.128, 144.172.64.99 y 144.172.64.60, vistas en inicios de sesión y actividad de Microsoft Graph en clientes de las aplicaciones de ConnectWise, y otras tres que el informe identifica como de una VPN y que son relevantes sobre todo para investigar el 15 y el 16 de octubre (fuera de esas fechas pueden ser de cualquiera): 187.15.88.186, 187.15.90.217 y 187.15.89.186.
Para cualquier empresa con Microsoft 365, use o no ConnectWise, el informe deja dos recomendaciones generales: darle a cada aplicación de terceros solo los permisos que necesita, y vigilar cuándo se le agregan credenciales o roles a una aplicación con permisos altos. Un servicio de respaldo necesita leer todo para copiarlo; por eso, quien se queda con su llave se queda con mucho más que las copias.
Cómo está ConnectWise
En su aviso, actualizado el 21 de octubre a las 19:00 UTC, ConnectWise dice que empezó a restablecer el servicio por etapas, que el proceso va a llevar varios días y que arrancar no significa que todo esté disponible. Pide mantener deshabilitadas las conexiones afectadas hasta que publique instrucciones formales para cada servicio. Sostiene que las copias de seguridad existentes siguen cifradas, aisladas y preservadas, sin indicios de que se hayan comprometido, y aclara que eso no establece si los entornos de Microsoft 365 de cada socio o cliente fueron afectados. Ese aviso no menciona a Storm-0940 ni a China: la atribución es de Microsoft. A la pregunta de quién fue el atacante, la sección de preguntas frecuentes de ConnectWise responde que por ahora no puede hablar de atribución.
Lo que todavía no se sabe
- Cómo consiguió el atacante las credenciales de ConnectWise. El informe de Microsoft no lo explica, y ConnectWise dijo el 20 de octubre que su investigación busca determinar cómo empezó el acceso y su alcance completo.
- Si hubo robo de datos, y en cuántos casos. Microsoft identificó actividad posterior al acceso en varios entornos de clientes, pero no da una cifra de entornos con datos leídos o sacados.
- Si hay víctimas en América Latina. El informe no da países de las víctimas.
- Si ConnectWise coincide con la atribución. En su aviso dice que por ahora no puede hablar del tema.
Fuentes
- Microsoft Threat Intelligence, «AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise», blog de seguridad de Microsoft, 21 de octubre de 2026 (en inglés).
- ConnectWise, aviso «Cloud Backup (formerly known as SkyKick) Service Interruption», publicado el 16 de octubre de 2026 y actualizado el 21 a las 19:00 UTC (en inglés).
