Microsoft atribuyó el 21 de octubre de 2026 el ataque contra ConnectWise Cloud Backup a Storm-0940, un grupo que identifica como alineado con el Estado chino. Según su investigación, los atacantes utilizaron agentes de inteligencia artificial para acelerar el acceso a entornos de Microsoft 365 mediante aplicaciones que los clientes ya habían autorizado.
El grupo empleó ARTEX, una herramienta de pruebas de seguridad que automatiza tareas con modelos de IA. Microsoft reportó intentos de inicio de sesión contra más de 2,250 entornos de organizaciones, conocidos como tenants. Esa cifra describe objetivos de los intentos, no un total confirmado de víctimas ni de robos de datos.
ConnectWise considera que la evidencia disponible, incluida la inteligencia compartida por Microsoft, apunta a un grupo alineado con China. En respuesta a Reuters, la Embajada de China en Washington afirmó que su país combate las actividades de hacking y rechazó lo que considera ataques y difamaciones bajo el pretexto de la ciberseguridad.
Por qué desconectar el respaldo puede dejar accesos abiertos
Cloud Backup, antes conocido como SkyKick, permite a proveedores de servicios tecnológicos respaldar datos de sus clientes. Huntress explica que esa función requiere permisos amplios sobre correo, OneDrive, SharePoint, Teams y directorios de Microsoft 365. Una credencial comprometida del proveedor permitió utilizar los permisos que esas organizaciones ya habían concedido a la aplicación.
La firma documentó actividad posterior al acceso en dos entornos de clientes. En ambos, una aplicación se otorgó el rol de administrador global y añadió credenciales a otras aplicaciones para conservar una vía de entrada. Deshabilitar las aplicaciones de ConnectWise, advirtió Huntress, deja pendientes esas credenciales añadidas.
Ahí se separan dos trabajos de recuperación: ConnectWise puede contener las conexiones del proveedor y restablecer el servicio, mientras que los administradores de cada cliente deben investigar los cambios dentro de su propio entorno.
La restauración avanza por fases
ConnectWise comenzó a restaurar servicios de forma controlada el 21 de octubre y calcula que el proceso tomará varios días. Cada etapa está sujeta a validación de seguridad. La compañía sostiene que sus archivos de respaldo permanecen cifrados, aislados y preservados, sin indicios de compromiso; esa evaluación se refiere a los archivos almacenados y no resuelve el estado de cada entorno de Microsoft 365.
La instrucción vigente de ConnectWise es mantener las conexiones afectadas deshabilitadas hasta recibir las indicaciones formales que correspondan a cada servicio, mientras continúa la revisión de los entornos de los clientes.
Patricia Rodriguez
