Microsoft atribuye a China un ataque a tenants vía ConnectWise
Las 2 250 son organizaciones a las que intentaron entrar. Cuántas sufrieron un acceso real sigue sin respuesta de Microsoft.
Microsoft responsabiliza a Storm-0940, un grupo que vincula con el Estado chino, de intentos de inicio de sesión en más de 2 250 tenants de Microsoft 365 tras el compromiso de ConnectWise, según el informe de Microsoft Threat Intelligence del 21 de octubre. Un tenant es el espacio propio de cada organización dentro de Microsoft 365.
La cifra cuenta intentos, no empresas vulneradas. Cuántas sufrieron un acceso real, la compañía no lo ha precisado, y advierte que un inicio de sesión exitoso "no indica necesariamente" que se hayan extraído datos de clientes.
Los atacantes se autenticaron con credenciales de aplicaciones de ConnectWise, usando permisos que los clientes ya les habían concedido. Para automatizar el intento recurrieron a ARTEX, una herramienta abierta de pruebas de penetración que emplea agentes de IA. No hay CVE: el ataque abusa de credenciales y aplicaciones OAuth, no de una falla de software. Microsoft descarta que sus propios sistemas fueran comprometidos.
Lo que el informe mide:
- El 11 de octubre se llegó a 2 900 intentos fallidos de sesión cada minuto.
- En varios casos, menos de tres horas entre elegir el objetivo y tener acceso privilegiado.
- Entre el 10 y el 14 de octubre, otra campaña de "password spraying", que prueba pocas contraseñas en muchas cuentas. Fueron 327 cuentas de ocho organizaciones y más de 151 000 intentos fallidos, sin una sola autenticación exitosa.
Otra cifra circula aparte: la firma Huntress confirmó al menos 162 tenants comprometidos entre sus propios clientes. Es el conteo de una empresa, no el total.
El 17 de octubre ConnectWise descubrió que alguien había entrado sin permiso a identidades de sus aplicaciones, y cortó Cloud Backup, el servicio antes llamado SkyKick. Al día siguiente deshabilitó siete identidades y suspendió otros dos servicios, SaaS Security y Cloud Management. En su aviso a socios asegura que los respaldos guardados siguen cifrados y aislados, y que nada indica que se hayan visto comprometidos. No ha confirmado la atribución a un grupo estatal, y una firma forense externa aún investiga cómo entró el atacante.
Para quien administra un tenant, o depende de un proveedor de servicios gestionados que usa ConnectWise, Microsoft recomienda buscar por identificador las tres aplicaciones que nombra: MS Graph (ID 0de14c77-b9b0-4137-9360-34878a929827), Cloud Backup (ID 506e08f9-6e9a-4da4-942b-a099a03644ae) y la de Teams (ID 24205314-2b89-4e07-a2a4-579e898a5640), en cada entorno donde alguna vez se autorizaron. También pide examinar los accesos de las entidades de servicio a partir del 15 de octubre como mínimo (idealmente del 1), además de cualquier credencial, rol o consentimiento nuevo. Su propio texto menciona cuatro aplicaciones y solo lista tres.
Ninguna fuente reporta organizaciones afectadas en México. ConnectWise fijó el 26 de octubre como meta para restaurar los respaldos, sujeta a validaciones, y la reinscripción completa vendrá después.
