IA en un minutoNoticiasSeguridad
Microsoft atribuye a un grupo alineado con China un ataque con agentes de IA contra clientes de ConnectWise
Redacción de IA en un minuto · Editor: Jon Elgezabal
En 30 segundos
Según Microsoft, Storm-0940, alineado con China, está detrás del ataque a clientes de ConnectWise y se valió de ARTEX, un programa abierto que reparte el trabajo entre agentes de IA. Los agentes usaron permisos de aplicaciones de ConnectWise para probar el acceso a más de 2.250 entornos de Microsoft 365, a razón de hasta 2.900 por minuto. La mayoría no prosperó, pero en varios casos llegaron a un acceso privilegiado en menos de tres horas.
Microsoft considera responsable a Storm-0940, un grupo alineado con el Estado chino, del ataque a la cadena de suministro de ConnectWise que esta empresa comunicó en un aviso el 16 de octubre. Lo explica en un informe que sus equipos de investigación de seguridad y de inteligencia de amenazas publicaron el miércoles 21 de octubre. Según ese informe, desde septiembre el grupo emplea ARTEX, una herramienta de código abierto para pruebas de intrusión en la que varios agentes de IA hacen el trabajo, contra cientos de organizaciones de todo el mundo y de sectores muy distintos, de la defensa y la energía a la administración pública, los semiconductores o el derecho.
Tras hacerse con el control de las identidades de varias aplicaciones en la nube de ConnectWise, entre ellas la de su servicio de copias de seguridad Cloud Backup, los agentes usaron el acceso que esas aplicaciones ya tenían concedido en los entornos de Microsoft 365 de sus clientes, sin necesidad de que ningún usuario iniciara sesión. Intentaron entrar en más de 2.250 inquilinos (así llama Microsoft al entorno de cada organización), a un ritmo de hasta 2.900 intentos por minuto. En algunos de esos entornos fueron más allá: hicieron reconocimiento, cambiaron credenciales de aplicaciones para conservar el acceso y tocaron identidades, grupos y roles con privilegios.
Storm-0940 está activo desde 2021 y busca robar datos. Hasta ahora entraba sobre todo probando contraseñas de forma masiva o aprovechando fallos de aplicaciones expuestas a internet, y ya añadía credenciales a aplicaciones con permisos sobre Microsoft 365 para quedarse dentro. Lo nuevo, según Microsoft, es la velocidad: en varios casos pasaron menos de tres horas desde que eligió un objetivo hasta que obtuvo acceso privilegiado a su nube. La mayoría de los intentos fracasaron. Entre el 10 y el 14 de octubre, por ejemplo, la misma infraestructura lanzó más de 151.000 intentos fallidos contra 327 cuentas de ocho organizaciones, sin lograr ni un acceso.
ARTEX puede funcionar con cualquier modelo de IA y lleva una prueba de intrusión completa, del reconocimiento a la extracción de datos, con poca intervención humana. Microsoft dice haber visto a atacantes de varias regiones usándola. El informe no dice qué modelo usó Storm-0940.
Microsoft aclara que nada de esto se debe a una intrusión ni a un fallo en sus propios sistemas, y que tener instalada una de las aplicaciones afectadas, o incluso que el atacante llegara a autenticarse, no significa que se accediera a datos o que se los llevaran. Recomienda mantener desactivadas las conexiones con las aplicaciones de ConnectWise afectadas hasta que ConnectWise publique instrucciones formales para restaurarlas, no borrar esas aplicaciones como primera reacción para no perder pruebas y revisar la actividad al menos desde el 15 de octubre.
Por qué importa · análisis y opinión
El punto débil no estuvo en Microsoft ni en las contraseñas de los empleados, sino en una aplicación de terceros a la que muchas empresas habían dado permisos amplios para hacer sus copias de seguridad. Esa confianza heredada es difícil de vigilar, y con agentes de IA al otro lado el margen para reaccionar se queda en horas. Quien tenga ConnectWise Cloud Backup conectado a su Microsoft 365 debería mantenerlo desactivado, guardar los registros antes de tocar nada y pedir a su proveedor informático que revise los inicios de sesión de esas aplicaciones. Para el resto, es buen momento para repasar qué aplicaciones externas pueden leer el correo y los archivos de la empresa, con qué permisos, y retirar las que ya no se usan.
Fuente oficial: Microsoft · Redactada con ayuda de IA: cómo hacemos las noticias
¿Qué significa para tu negocio? · análisis y opinión
Afecta sobre todo a empresas pequeñas, despachos y autónomos de España y Latinoamérica que tienen Microsoft 365 gestionado por un proveedor informático externo, y en especial a quienes usan ConnectWise Cloud Backup para guardar copias de sus datos. Quien no tenga integraciones de terceros con permisos amplios sobre su cuenta corre menos riesgo en este caso concreto, aunque probar contraseñas a gran velocidad es una técnica que puede dirigirse contra cualquiera.
Lo prudente es preguntar al proveedor si usa ese servicio y, si es así, no volver a activar la integración hasta que ConnectWise dé instrucciones formales para restaurarla, como pide Microsoft. Conviene también revisar en el centro de administración qué aplicaciones tienen acceso a la cuenta, si han aparecido claves de autenticación nuevas y si alguien ha cambiado los roles de administrador, porque son los cambios que los atacantes hicieron en algunos casos. Nuestro consejo es, además, exigir la verificación en dos pasos a todos los usuarios para frenar los intentos de adivinar contraseñas.
El coste más inmediato es operativo: mientras la conexión con Cloud Backup siga desactivada, las copias hechas con ese servicio quedan en pausa y conviene exportar a mano los buzones y archivos más importantes. Y si alguien obtiene permisos de administrador, puede llegar a correos y documentos con datos de clientes, algo que en la UE puede obligar a notificar una brecha de datos personales.
