Investigadores de Microsoft atribuyeron a un grupo alineado con el Estado chino el robo de credenciales en el servicio de respaldo en la nube de ConnectWise, desde donde espiaron a unas 2.250 organizaciones clientes usando agentes de inteligencia artificial.

El grupo, rastreado como Storm-0940, entró en el sistema de copias de seguridad de la empresa de gestión de TI y acceso remoto y se llevó credenciales de aplicación que ConnectWise usa para enlazar datos con sus clientes corporativos.

Con esas credenciales los atacantes podían iniciar sesión en el entorno alojado en Microsoft de cada víctima como si fueran un usuario autorizado, y desde ahí leer correos y otros archivos.

La escala es lo que distingue este caso: Microsoft calcula que los atacantes llegaron a cerca de 2.250 organizaciones a un ritmo de casi 3.000 intentos de inicio de sesión por minuto, una velocidad que deja a los defensores «poco tiempo para detectar y responder».

Esa cadencia se atribuye al uso de agentes de IA, en concreto ARTEX, un marco de trabajo de código abierto que opera con modelos de lenguaje para poner a prueba defensas. El mismo software apareció en un compromiso reciente contra el sistema financiero de Corea del Sur, donde muchas entidades tenían controles débiles y carecían de autenticación multifactor.

ConnectWise dijo que pausó el acceso a su sistema de respaldo en la nube y que investiga el incidente. Hasta el jueves, la compañía seguía trabajando en la restauración del servicio.

El caso se suma a una semana particularmente mala en ciberseguridad: en paralelo se confirmó el robo de datos personales y de salud de pacientes de Quest Diagnostics y la plataforma de desarrollo Railway pidió a todos sus usuarios revocar claves secretas tras un ciberataque.

La lección técnica es incómoda para los proveedores de servicios gestionados. Una sola credencial de aplicación mal protegida en un proveedor se convierte en llave maestra hacia cientos o miles de clientes, y la IA abarata el trabajo de probar esa llave a velocidad industrial.

Para las empresas afectadas, el margen de acción está en lo básico: exigir autenticación multifactor, rotar credenciales de aplicación con frecuencia y vigilar inicios de sesión anómalos en los entornos en la nube, incluidos los que parecen venir de ubicaciones legítimas.

Fuentes
TechCrunch — Chinese hackers spied on thousands of companies after breaching IT giant ConnectWise
Microsoft Security Blog — Storm-0940 uses ARTEX agentic AI in ConnectWise compromise
Crédito de la imagen: Getty Images vía TechCrunch