Qué pasó con ConnectWise y por qué alcanza a miles de empresas
Microsoft atribuyó a Storm-0940, un grupo alineado con el Estado chino, el compromiso de la cadena de suministro de ConnectWise Cloud Backup, el servicio de respaldo en la nube que usan proveedores de servicios gestionados (MSP) para guardar los datos de sus clientes en Microsoft 365. El grupo robó credenciales de aplicaciones —las identidades que ConnectWise y sus clientes usan para intercambiar datos— y las usó para autenticarse en los entornos de Microsoft de las víctimas como si fueran usuarios autorizados.
El resultado: acceso potencial a correos y archivos de alrededor de 2.250 organizaciones, con un pico de 2.900 intentos de inicio de sesión por minuto. Según Microsoft, en varios casos el grupo consiguió acceso privilegiado a la infraestructura cloud de la víctima en menos de tres horas desde el primer intento.
ConnectWise publicó su primer aviso el 16 de octubre de 2026, desactivó siete identidades de aplicación el 17 de octubre y puso Cloud Backup fuera de línea. Empezó a restaurar el servicio por etapas el 21 de octubre y advirtió que la recuperación tomaría varios días. Un portavoz de la compañía dijo a The Record que no había "indicio" de que los datos de respaldo hubieran sido comprometidos. La firma de seguridad Huntress, que monitorea sistemas de clientes, había confirmado brechas en 162 inquilinos al 16 de octubre y después identificó casi 1.000 inquilinos que recibieron intentos de inicio de sesión, con más de 300 exitosos.
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 díasARTEX: cuando un agente de IA hace el trabajo de un equipo entero
El diferencial de este incidente no es el vector —el abuso de aplicaciones OAuth es parte del manual de Storm-0940 desde hace años— sino la velocidad. Microsoft atribuye el ritmo a ARTEX, un framework de pentesting open source basado en agentes de IA que puede correr sobre cualquier modelo de lenguaje. Es un sistema multiagente escrito en Go que ejecuta una prueba de penetración autónoma, desde el reconocimiento hasta la exfiltración de datos, con muy poca intervención humana.
Según Microsoft, los agentes escanearon redes, probaron contraseñas y explotaron permisos de aplicaciones de forma automatizada. "Los agentes no están limitados por los factores que afectan a los humanos", escribieron los investigadores. Pueden trabajar de corrido, los fines de semana y los feriados, y probar varias rutas de ataque al mismo tiempo.
El detalle que debería preocupar a cualquier responsable de tecnología: ARTEX es gratis y está en GitHub. Como resume Yih Khai Wong, senior research manager de IDC Asia/Pacific, "los ataques se están convirtiendo en commodity": la sofisticación operativa que antes era exclusiva de grupos con muchos recursos hoy está al alcance de cualquiera que pueda correr un repositorio contra una API de LLM.
El antecedente: Corea del Sur y Japón ya lo sufrieron
Este no es un caso aislado. CrowdStrike documentó una campaña activa entre fines de septiembre y principios de octubre de 2026 contra entidades financieras surcoreanas, incluidos Shinhan Bank y Yegaram Savings Bank, que terminó en exfiltración de datos. La Comisión de Servicios Financieros de Corea del Sur informó el 14 de octubre de 2026 que 16 instituciones financieras habían sido afectadas y que se filtraron aproximadamente 100.000 registros con información personal.
En Japón, GMO Cybersecurity by IERAE confirmó el 19 de octubre que identificó ARTEX en ataques contra empresas japonesas: primero un servidor que apuntaba a unas 20 compañías y luego cinco servidores más, con un total de seis apuntando a "aproximadamente 80" empresas de retail, logística, seguros, finanzas y educación. Entre las brechas divulgadas en paralelo, Lawson reportó la filtración de datos de más de 2 millones de cuentas y Yamato Transport confirmó el robo de unos 5,26 millones de registros de clientes.
Tras el uso malicioso, el desarrollador de ARTEX —conocido como Autumn-27— anunció el 8 de octubre de 2026 que el proyecto dejaría de actualizarse y pasaría a ser de código cerrado.
El eslabón que casi nadie audita: tus integraciones SaaS
El punto ciego que expone este caso es estructural. Yash Kadakia, fundador y CTO de Security Brigade, lo describe con precisión: las empresas dedican enormes esfuerzos a proteger los accesos de sus empleados con MFA y acceso condicional, mientras las aplicaciones de terceros pueden tener permisos igual de poderosos y autenticarse sin que ningún empleado intervenga. "Pasamos años implementando zero trust para humanos mientras seguimos confiando implícitamente en las máquinas", señaló.
Microsoft agrega un matiz crítico: los cambios de credenciales que hicieron los agentes en los entornos comprometidos pueden quedar activos como puerta trasera incluso después de remediar la aplicación original. Es decir, desinstalar la integración no equivale a cerrar el acceso.
¿Qué significa esto para tu startup?
Si tu empresa usa herramientas de respaldo, CRM, help desk o cualquier SaaS que se conecte a tu Microsoft 365 o Google Workspace, este incidente te aplica directamente. Tres acciones concretas:
- Inventaría las integraciones activas y las olvidadas. Busca por ID de aplicación, no por nombre visible: una app que dejaste de usar hace un año puede seguir teniendo permisos vigentes en tu entorno. Microsoft publicó los cuatro IDs afectados y recomienda revisar cada inquilino donde esas aplicaciones estén o hayan estado autorizadas.
- Trata cada integración como una cuenta privilegiada. Eso implica permisos mínimos, monitoreo continuo, revisiones de acceso periódicas y un procedimiento probado para revocar el acceso. Si no tienes un botón de emergencia documentado, no tienes control.
- Automatiza la contención, no solo la detección. Como advierte Wong de IDC, "2.900 intentos de inicio de sesión por minuto y acceso privilegiado en menos de tres horas no es un ritmo que ninguna cola de analistas humanos pueda seguir, por bien dotado que esté el SOC". Deshabilitar credenciales, revocar tokens y aislar service principals debería dispararse automáticamente ante umbrales predefinidos, con revisión humana posterior.
Cómo actuar si usas ConnectWise o cualquier respaldo en la nube
Microsoft publicó una guía operativa que vale la pena seguir al pie de la letra, incluso si no usas ConnectWise:
- Mantén deshabilitadas las conexiones afectadas hasta que el proveedor confirme la restauración formal.
- No borres las aplicaciones empresariales como primera respuesta: preserva la configuración y la evidencia antes de hacer cambios irreversibles.
- Revisa los registros de inicio de sesión de service principals por separado de los de usuarios, y no limites la búsqueda a las IP publicadas.
- Audita la actividad desde al menos el 15 de octubre de 2026 y, donde los registros lo permitan, extiéndela al 1 de octubre.
- Conserva los registros de Entra, Purview y el SIEM antes de cualquier remediación.
Un dato que conviene tener presente para no sobrerreaccionar: Microsoft aclara que la presencia de una aplicación afectada, o incluso una autenticación exitosa, no indica necesariamente que hubo acceso o exfiltración de datos.
Conclusión
El mensaje de fondo de este incidente es incómodo para cualquier startup: tu superficie de ataque ya no es tu equipo, son tus integraciones. Un proveedor de respaldo con permisos amplios sobre tu correo corporativo es, en la práctica, parte de tu infraestructura crítica, aunque no aparezca en tu organigrama ni en tu presupuesto de seguridad.
La buena noticia es que las medidas que reducen este riesgo son baratas y no requieren un equipo de seguridad dedicado: inventariar integraciones, aplicar permisos mínimos y automatizar la revocación. La mala es que, con herramientas como ARTEX disponibles gratis, el tiempo entre el primer intento y el acceso privilegiado se mide en horas, no en semanas. Ese margen solo se recupera si la respuesta también es automática.
Fuentes
- TechCrunch: Chinese hackers spied on thousands of companies after breaching IT giant ConnectWise
- Microsoft Security Blog: AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise
- The Next Web: Microsoft says China-aligned hackers used AI agents in ConnectWise attack
- CSO Online: China-linked hackers used agentic AI in attack on 2,250 Microsoft 365 tenants
- The Hacker News: China-Linked Hackers Use ARTEX AI Agents in ConnectWise Supply Chain Attack
- The Hacker News: ARTEX AI Pentesting Tool Used in Data Theft Attacks on South Korean Financial Firms
¿Y esto cómo se aplica en tu negocio?
En CAR, dueños de empresa de Latinoamérica y España usan la tecnología para ser más rentables. Empiezas con una ruta de 7 días y terminas con un sistema funcionando en tu negocio.
👥 Probar 7 días
