Ir al contenido
Todos los artículos

· por NetProtector Security Team

Ataque a la cadena de suministro de ConnectWise: 2.250 tenants de Microsoft 365 en el punto de mira

Ilustración: un eslabón roto de la cadena de suministro conduce a numerosos tenants en la nube, varios de ellos comprometidos

Unos atacantes robaron credenciales de servicios en la nube de ConnectWise y las utilizaron para intentar acceder a más de 2.250 entornos de Microsoft 365 de clientes. Microsoft atribuye la campaña al grupo Storm-0940, vinculado a China, e informa de que los atacantes emplearon una herramienta basada en IA. El caso demuestra lo peligrosas que pueden ser las aplicaciones de terceros de confianza en la propia nube.

Qué ha ocurrido

ConnectWise ofrece, entre otros servicios, Cloud Backup (antes SkyKick) para Microsoft 365, principalmente a través de proveedores de servicios de TI (MSP). Para que estos servicios funcionen, los clientes les conceden amplios permisos en su tenant de Microsoft 365.

  • 10–14 de octubre de 2026: Storm-0940 intentó primero, mediante password spraying, iniciar sesión en 327 cuentas de ocho organizaciones; según Microsoft, sin éxito.
  • A continuación: los atacantes utilizaron credenciales robadas de identidades de aplicación de los servicios de ConnectWise. Como estas aplicaciones ya tenían permisos en los tenants de los clientes, no fue necesario ningún inicio de sesión de usuario ni ninguna verificación MFA.
  • 17–19 de octubre: ConnectWise desactivó las identidades de aplicación afectadas y desconectó temporalmente Cloud Backup, SaaS Security y Cloud Management.
  • 21 de octubre: Microsoft publicó su análisis.

Según Microsoft, los intentos de inicio de sesión llegaron a alcanzar en algunos momentos 2.900 intentos por minuto. A través de Microsoft Graph, los atacantes realizaron tareas de reconocimiento, modificaron credenciales de aplicaciones e intentaron ampliar permisos: cambios que pueden mantener el acceso incluso después de bloquear las credenciales originales. En algunos casos, transcurrieron menos de tres horas desde la selección del objetivo hasta el acceso privilegiado.

No se ha determinado de forma definitiva cuántos tenants se vieron realmente comprometidos. Microsoft habla de «numerosas» organizaciones con acceso privilegiado persistente; algunos informes mencionan unos 160 inicios de sesión no autorizados confirmados. A menudo no es posible afirmar con certeza si se han filtrado datos, ya que los accesos de lectura de una aplicación a través de Graph no siempre quedan registrados.

La IA del lado de los atacantes

Según Microsoft, Storm-0940 utilizó ARTEX, un framework de pruebas de penetración de libre acceso que automatiza con agentes de IA el reconocimiento, la búsqueda de vulnerabilidades y los ataques contra credenciales. La novedad no es tanto la técnica como la velocidad: lo que antes suponía días de trabajo manual, los agentes lo completan en horas, y en paralelo contra miles de objetivos.

Qué debería hacer ahora

  1. Aclare su relación con ConnectWise. ¿Utiliza usted (o su proveedor de servicios de TI) ConnectWise Cloud Backup, SaaS Security o Cloud Management? Mantenga desactivadas las conexiones afectadas hasta que ConnectWise publique indicaciones para su restablecimiento.
  2. Asegure los logs antes de realizar cualquier cambio; de lo contrario, se perderán rastros.
  3. Revise los inicios de sesión de las entidades de servicio, no solo los de los usuarios, como mínimo desde el 1 de octubre de 2026, si su periodo de retención lo permite. Preste atención a nuevos client secrets o certificados en las aplicaciones y a nuevos permisos.
  4. Depure las aplicaciones empresariales. ¿Qué aplicaciones de terceros tienen qué permisos en su tenant? Elimine lo que ya no sea necesario y reduzca los permisos al mínimo imprescindible.
  5. Utilice el acceso condicional también para las identidades de carga de trabajo, donde esté disponible, por ejemplo, para restringir las aplicaciones a rangos de IP conocidos.

Nuestra valoración

Los ataques a la cadena de suministro golpean allí donde más se confía. Una aplicación de copia de seguridad necesita acceso de lectura a todo, y precisamente eso la hace valiosa para los atacantes. Por ello, el principio de mínimo privilegio también se aplica a los proveedores de servicios, y el comportamiento inusual de una aplicación conocida debe llamar la atención tanto como el de un usuario desconocido. Detección de anomalías significa aquí: saber qué es normal y ver las desviaciones de inmediato.

Fuentes