Bastaron tres horas para hacerse con la nube: Microsoft reveló la operación Storm‑0940

Un ataque en la nube puede caber en una reunión de trabajo. Microsoft reveló la operación a gran escala Storm-0940, cuyos participantes utilizaron la plataforma de IA ARTEX para atacar a cientos de organizaciones en todo el mundo. En varios episodios confirmados, desde la selección del objetivo hasta la obtención de acceso privilegiado a la nube transcurrieron menos de tres horas.

La campaña comenzó a más tardar en septiembre de 2026. ARTEX es un sistema abierto de agentes de IA capaz de buscar por sí mismo servicios disponibles, comprobar vulnerabilidades y ejecutar acciones secuenciales para el ataque. Anteriormente la plataforma ya se había relacionado con intrusiones a bancos en Corea del Sur, donde los atacantes robaron datos.

El episodio principal fue un ataque a la cadena de suministro a través de ConnectWise Cloud Backup, antes conocido como SkyKick. Según Microsoft, Storm-0940 obtuvo el control de las credenciales de varias aplicaciones en la nube de ConnectWise y, mediante conexiones confiables, comenzó a acceder a Microsoft 365 de los clientes. Para ese acceso no se requerían ni las contraseñas de los usuarios ni la verificación de ingreso por una persona.

Del 10 al 14 de octubre, la infraestructura atacante probó contraseñas comunes para 327 cuentas en ocho organizaciones. Microsoft registró más de 151 000 intentos de acceso fallidos, con una velocidad máxima de 2 900 por minuto. La fuerza bruta no tuvo éxito. No se detectaron accesos exitosos, emisión de tokens ni cambios en los directorios durante la campaña.

Tras la compromisión de ConnectWise, los atacantes intentaron acceder a más de 2 250 entornos en la nube de Microsoft 365. Los agentes de IA aceleraban las llamadas a aplicaciones en las que los clientes ya confiaban. En algunos entornos, los atacantes recurrieron a Microsoft Graph, examinaron la estructura de los directorios, añadieron credenciales de aplicaciones y modificaron asignaciones de roles para lograr acceso persistente.

La característica más problemática del ataque está relacionada con la persistencia en infraestructuras ajenas. Las claves y permisos añadidos por los atacantes pueden seguir funcionando incluso después de desconectar la aplicación del proveedor comprometida. Microsoft detectó estas acciones en varios entornos de clientes, pero subraya que un inicio de sesión exitoso por sí solo no demuestra la lectura o el robo de datos.

ConnectWise el 17 de octubre desactivó las conexiones comprometidas y suspendió Cloud Backup, SaaS Security y Cloud Management. La empresa comenzó a restaurar los servicios de forma escalonada el 21 de octubre, pero advirtió que el proceso llevaría varios días. Los archivos de las copias de seguridad permanecieron cifrados y aislados; no hay indicios de acceso a los archivos por ahora.

Microsoft recomienda revisar los registros de inicio de sesión de las aplicaciones de servicio en Entra ID, los cambios de permisos y las llamadas a Microsoft Graph, prestando atención a los entornos de clientes con integraciones previas de ConnectWise. Las claves y roles sospechosos deben eliminarse después de preservar evidencias del ataque. La compañía no detectó indicios de compromiso de los propios sistemas de Microsoft en la operación descrita.