Microsoft señaló que Storm-0940, un grupo de hackers con lazos estatales chinos, estuvo detrás de la intrusión a la cadena de suministro que comprometió la solución de respaldo en la nube ConnectWise y afectó a más de 2.250 organizaciones en todo el mundo. El informe, difundido el 21 de octubre de 2026, describe a la agrupación como activa desde 2021 y que, desde septiembre, empleó ARTEX, un programa de pruebas de penetración basado en inteligencia artificial, para automatizar ataques contra cientos de empresas de sectores como defensa, energía, finanzas, gobierno, manufactura y tecnología.
Según Microsoft, Storm-0940 suele obtener el acceso inicial robando contraseñas y aprovechando aplicaciones expuestas a internet, para luego moverse dentro de los sistemas de sus víctimas con las cuentas comprometidas. En varios casos, el intervalo entre el primer intento de ingreso y la obtención de acceso privilegiado a la nube de una organización fue inferior a tres horas. A pesar de que la mayoría de los intentos fallaron, el grupo consiguió acceso privilegiado en numerosas organizaciones en corto plazo.
Igor Tsyganskiy, vicepresidente ejecutivo de Microsoft, escribió en LinkedIn que el ataque contra ConnectWise es apenas “uno de muchos” episodios impulsados por IA que la empresa observa desde principios de octubre.
Entre el 10 y el 14 de octubre de 2026, Storm-0940 desplegó una campaña automatizada de prueba de contraseñas contra 327 cuentas de ocho organizaciones que usan Microsoft 365 y Exchange Online. Microsoft registró más de 151.000 intentos fallidos de inicio de sesión, con un pico de 2.900 fallos por minuto el 11 de octubre.
Un día después, el 15 de octubre, comenzaron a reportarse los primeros indicios del ataque a ConnectWise, que guardan relación con la misma dirección IP utilizada en la campaña anterior. Microsoft indicó que los atacantes usaron ARTEX para intentar ingresar a más de 2.250 clientes de la aplicación, a un ritmo de 2.900 intentos por minuto, un tempo que dificulta la respuesta de los equipos de seguridad.
La aplicación comprometida, ConnectWise Cloud Backup, permite respaldar datos de Microsoft 365 y Google Workspace y es utilizada por miles de clientes. Al tratarse de una solución de uso compartido, quienes controlen las credenciales podrían solicitar acceso a cualquier cuenta corporativa donde estuviera instalada, sin la autorización de la víctima, según explicó Huntress.
Una vez dentro, los agentes de inteligencia artificial operados por Storm-0940 llevaron a cabo reconocimiento, modificaron credenciales de otras aplicaciones e intentaron cambiar permisos de identidades y grupos con privilegios elevados, según Microsoft. Esas modificaciones pueden funcionar como una puerta trasera activa incluso después de que se detecte el incidente.
