:quality(90):no_upscale()){kind=logo}
Un ataque a la cadena de suministro impulsado por IA consiguió acceso privilegiado a la nube en menos de tres horas
ESTADO: Campaña sobre la cadena de suministro de los Estados-nación GRAVEDAD: 8/10 DESTINATARIOS: Responsables de seguridad del Gobierno, la Defensa y las infraestructuras críticas
6 de noviembre de 2026
·Blog
·Comunicaciones seguras
:quality(90):no_upscale())
Microsoft atribuye la filtración de ConnectWise Cloud Backup a Storm-0940, un actor vinculado al Estado chino que utilizó el marco de pruebas de penetración basado en IA con agentes ARTEX contra cientos de organizaciones de diversos sectores, entre los que se incluyen el gubernamental, el militar, el aeroespacial y de defensa, y el energético. Utilizando credenciales de aplicaciones robadas, los agentes intentaron iniciar sesión en más de 2.250 inquilinos de Microsoft 365 y, en múltiples casos, lograron acceso privilegiado a la nube en menos de tres horas tras el ataque inicial. Esta rapidez deja a los defensores muy poco tiempo para coordinar una respuesta.
¿Qué pasó?
Los agentes, que trabajan las 24 horas del día, redujeron el tiempo necesario para pasar de la selección de objetivos al acceso privilegiado a menos de tres horas.
El 21 de octubre, Microsoft atribuyó la brecha de seguridad en la cadena de suministro de ConnectWise, revelada recientemente, a Storm-0940, un actor vinculado al Estado chino activo desde 2021 que ataca a organizaciones de múltiples sectores con el objetivo de robar datos. Desde al menos septiembre, este actor ha utilizado ARTEX, un sistema multiagente de código abierto que lleva a cabo una prueba de penetración autónoma —desde el reconocimiento hasta la exfiltración de datos— contra cientos de organizaciones de todo el mundo. Entre los sectores afectados se encuentran el aeroespacial y de defensa, el energético, los servicios financieros, la administración pública y el ejército.1
ConnectWise reveló el 16 de octubre un acceso no autorizado relacionado con Cloud Backup. El atacante se hizo con el control de varias identidades de aplicaciones en la nube de ConnectWise y las utilizó para autenticarse en los entornos de Microsoft 365 de los clientes, suplantando a las aplicaciones sin necesidad de que el usuario iniciara sesión de forma interactiva. Los agentes intentaron iniciar sesión en más de 2.250 inquilinos y, según Microsoft, la mayoría de los intentos no tuvieron éxito. En algunos entornos, el atacante accedió a Microsoft Graph y realizó operaciones en el directorio, entre las que se incluyen cambios en las credenciales de las aplicaciones y modificaciones relacionadas con identidades, grupos y roles con privilegios.1
Los datos de Microsoft muestran el ritmo. En una fase de «password-spray» que tuvo lugar del 10 al 14 de octubre, la misma infraestructura generó más de 151 000 intentos fallidos de inicio de sesión en 327 cuentas de ocho organizaciones, alcanzando un máximo de 2 900 fallos por minuto, sin que se produjera ninguna autenticación satisfactoria. Las cifras de Microsoft correspondientes a la fase posterior muestran más de 200 inicios de sesión en menos de cuatro minutos utilizando cuatro credenciales de aplicación y, en múltiples ocasiones, acceso privilegiado menos de tres horas después del ataque inicial.1
La persistencia es el riesgo a largo plazo. Microsoft afirma que los cambios en las credenciales realizados por los agentes del actor pueden persistir a través de otras identidades, credenciales y servicios en la nube, y pueden permanecer como una puerta trasera una vez que se haya solucionado el problema de la aplicación comprometida originalmente. Microsoft también observó que se leían datos confidenciales a gran escala en múltiples Azure Key Vaults.1
Las directrices de contención de Microsoft recomiendan a las organizaciones que mantengan desactivadas las conexiones de las aplicaciones de ConnectWise afectadas, conserven la configuración y las pruebas antes de realizar cambios irreversibles, revisen todos los inquilinos en los que se instalaron o autorizaron las aplicaciones y revisen los registros de inicio de sesión y de auditoría desde, al menos, el 15 de octubre. Microsoft también señala que la rapidez de la actividad impulsada por la IA deja a los defensores poco tiempo para responder a las alertas y remediar el acceso del actor de forma coordinada.1 Esas directrices deben ser aplicadas por un equipo cuyo propio entorno de Microsoft 365, incluidos el correo electrónico y Teams, se encuentre dentro del ámbito de la investigación.
Lo que descubrieron y qué significa
Conclusión | Qué significa | Consecuencias operativas | Pregunta abierta |
Storm-0940 utilizó agentes ARTEX para intentar iniciar sesión en las cuentas de más de 2.250 usuarios y, en múltiples ocasiones, consiguió acceso privilegiado a la nube en menos de tres horas. | La IA agentiva reduce el proceso desde la selección del objetivo hasta la intrusión a un intervalo de tiempo más breve de lo que suelen suponer la mayoría de los procesos de respuesta ante incidentes. | Las alertas solo pueden activarse una vez que ya existe acceso privilegiado, por lo que la respuesta comienza cuando el atacante ya se encuentra en posición. | ¿Cuántas organizaciones cuentan con un proceso de respuesta capaz de contener una brecha de seguridad en la nube en cuestión de horas, incluso fuera del horario laboral? |
El actor autenticó como aplicaciones de proveedores de confianza aquellas que los clientes ya habían autorizado sin necesidad de que el usuario iniciara sesión de forma interactiva. | Los controles relacionados con el inicio de sesión de los usuarios, incluida la autenticación multifactorial (MFA), no tienen ningún paso sobre el que actuar. | La vulnerabilidad depende de qué aplicaciones de terceros tengan acceso privilegiado a un inquilino, independientemente del nivel de protección de los usuarios. | ¿Cuántas organizaciones pueden enumerar todas las aplicaciones de terceros con acceso privilegiado a su tenant y los permisos que tiene cada una de ellas? |
Los cambios en las credenciales del actor pueden persistir incluso después de que se haya solucionado el problema de la aplicación original afectada, y la recomendación de Microsoft es conservar las pruebas antes de realizar cambios irreversibles. | La contención consiste en una secuencia minuciosa de pasos y operaciones que se llevan a cabo mientras el inquilino aún puede estar expuesto al atacante. | El equipo encargado de coordinar la contención está trabajando dentro del entorno objeto de investigación, y su propio correo electrónico y chat forman parte del ámbito de la investigación. | ¿Especifican los planes de respuesta cómo se comunica el equipo cuando el cliente que aloja el correo electrónico y el chat es, a su vez, objeto de una investigación? |
Por qué es importante
La antigua Asunción | La realidad actual | Respuesta de BlackBerry |
Un equipo de respuesta puede coordinarse a través del correo electrónico y el chat habituales de la organización durante un incidente de seguridad en la nube. | Las indicaciones de Microsoft incluyen en el ámbito de aplicación a todos los inquilinos en los que se autorizaron las aplicaciones afectadas, y el atacante ha utilizado históricamente aplicaciones comprometidas para acceder al correo electrónico y extraer información a través de Microsoft Graph. | BlackBerry® AtHoc® está diseñado para comunicarse con el personal a través de dispositivos móviles y teléfonos, al margen del correo electrónico y la red internos de la organización, de modo que la coordinación pueda continuar mientras el cliente está siendo objeto de una investigación. |
Desactivar una integración comprometida es un paso rápido e independiente. | La contención implica desactivar las aplicaciones, preservar las pruebas, revisar los registros de auditoría desde, al menos, el 15 de octubre y evaluar el impacto en los flujos de trabajo de copia de seguridad y restauración, a menudo en múltiples clientes y equipos. | BlackBerry AtHoc puede coordinar esa secuencia entre equipos y regiones con acuse de recibo. BlackBerry® SecuSUITE® ofrece a los servicios de emergencia un canal seguro para tomar decisiones delicadas. |
La autenticación MFA y las medidas de protección de los usuarios abarcan las vías de acceso a un inquilino de Microsoft 365. | La autenticación exclusiva a través de una aplicación de un proveedor ya autorizado no requiere que el usuario realice ningún inicio de sesión interactivo para que esas medidas de protección surtan efecto. | BlackBerry AtHoc y BlackBerry SecuSUITE abordan la fase de respuesta, ya que el control de los permisos de las aplicaciones de los proveedores es una función de identidad ajena a estos productos. |
Medidas recomendadas
INMEDIATO | Identifica todos los clientes en los que estén o hayan estado instaladas o autorizadas las aplicaciones de ConnectWise afectadas, buscando por ID de aplicación y no por nombre de visualización, y mantén desactivadas esas conexiones hasta que ConnectWise facilite instrucciones para restablecer el servicio. |
INMEDIATO | Conserva los registros de inicio de sesión y de auditoría de Entra, así como los datos de auditoría de Microsoft 365, antes de realizar cambios irreversibles, y revisa los inicios de sesión de los entidades de servicio y los cambios en las credenciales, los roles y los privilegios, al menos desde el 15 de octubre. |
A CORTO PLAZO | Realice un inventario de las aplicaciones de terceros con acceso privilegiado a sus inquilinos, aplique el principio del mínimo privilegio a sus permisos y supervise las incorporaciones de credenciales y las asignaciones de privilegios. |
A CORTO PLAZO | Acordad cómo se comunicará y tomará decisiones el equipo de respuesta en caso de que el proveedor que aloja el correo electrónico y el chat sea objeto de una investigación, y probad ese canal. |
EN CURSO | Planifica los plazos de respuesta teniendo en cuenta los ataques a velocidad de máquina, ya que, según Microsoft, se puede obtener acceso privilegiado en menos de tres horas. |
Puesto en BlackBerry
El informe de Microsoft describe un ataque en el que la rapidez es el factor clave: unos agentes que operaban sin descanso pasaron de la fase de selección de objetivos al acceso privilegiado en cuestión de horas a través de una aplicación de un proveedor en la que los clientes ya habían depositado su confianza. Los defensores disponen de muy poco tiempo y la tarea de contener el ataque recae en un equipo cuyo propio inquilino forma parte de la investigación. Las organizaciones que se preparan para ese caso, con un canal de coordinación ajeno al entorno objeto de la investigación, pueden llevar a cabo la respuesta sin depender de los sistemas en los que el atacante pueda haberse infiltrado.
Referencias:
1. Microsoft Threat Intelligence y Microsoft Security Research: una campaña a gran escala impulsada por IA y orquestada por un Estado-nación mediante ARTEX permite comprometer la cadena de suministro, (Blog de seguridad de Microsoft, 21 de octubre de 2026, actualizado el 26 de octubre de 2026).
:quality(90):no_upscale())