Un grupo de hackers vinculado al Estado chino utilizó herramientas de inteligencia artificial (IA) para ejecutar una campaña de ciberataques que afectó a más de 2 mil 250 organizaciones en todo el mundo, según un informe publicado por Microsoft el 21 de octubre de 2026.

La compañía atribuyó la operación a Storm-0940, un grupo activo desde 2021 que habría empleado un sistema de pruebas de penetración llamado ARTEX para automatizar intentos de acceso contra empresas de sectores como defensa, energía, finanzas, gobierno, manufactura y tecnología.

The China state-aligned threat actor Storm-0940 used the agentic AI penetration testing framework ARTEX to automate attacks targeting hundreds of organizations globally across a broad range of industries. Microsoft Threat Intelligence assesses that Storm-0940 was responsible for the recently disclosed ConnectWise supply chain compromise of a multitenant application. https://t.co/VXovj0jI90 Our investigation found that Storm-0940's use of ARTEX accelerated the speed of compromised application abuse to authenticate to target environments through applications that had already been granted access, allowing the threat actor to operate without requiring an interactive user sign-in. AI-accelerated follow-on activity included reconnaissance, application credential changes, and attempts to modify privileges that could enable expanded or persistent access. Read our blog for a detailed analysis and indicators of compromise (IOCs), along with Microsoft Defender detections, protection recommendations, and guidance on investigating service principal sign-ins and unexpected application credential or privilege changes.

— Microsoft Threat Intelligence (@MsftSecIntel) October 21, 2026

Ataque a ConnectWise permitió acceder a cuentas corporativas

La campaña explotó una vulnerabilidad relacionada con ConnectWise Cloud Backup, una aplicación que permite respaldar información de Microsoft 365 y Google Workspace. Debido a que el servicio es utilizado por numerosas organizaciones, el compromiso de sus credenciales pudo facilitar accesos no autorizados a cuentas corporativas.

Microsoft informó que los atacantes lograron obtener privilegios elevados en algunas organizaciones en menos de tres horas desde los primeros intentos de ingreso. Aunque la mayoría de las operaciones fracasó, la velocidad de los ataques dificultó la respuesta de los equipos de seguridad.

Entre el 10 y el 14 de octubre, la infraestructura vinculada al grupo lanzó más de 151 mil intentos fallidos de inicio de sesión contra 327 cuentas de ocho organizaciones que utilizan Microsoft 365 y Exchange Online. El 11 de octubre se registró un máximo de 2 mil 900 intentos fallidos por minuto.

🚨 BREAKING: Microsoft says China state-aligned hackers used AI agents in the ConnectWise supply-chain hack. Storm-0940 used the AI pentest tool ARTEX to reach 2,250+ Microsoft 365 tenants at 2,900 attempts a minute. Some attacks reached privileged cloud access within 3 hours. https://t.co/k0eQkCSpwM

— International Cyber Digest (@IntCyberDigest) October 22, 2026

Detectan accesos no autorizados y posibles puertas traseras

La firma de ciberseguridad Huntress identificó actividad sospechosa antes de que Microsoft confirmara el origen del ataque. Según sus registros, se detectaron accesos desde casi mil cuentas corporativas y se confirmaron ingresos no autorizados en 162 de ellas.

Una vez dentro de los sistemas, los atacantes realizaron tareas de reconocimiento, modificaron credenciales e intentaron alterar permisos de identidades y grupos con privilegios elevados. Estas acciones podrían mantener vías de acceso incluso después de corregir el problema inicial.

ARTEX automatiza operaciones de ciberespionaje

ARTEX es una herramienta de código abierto que utiliza agentes de inteligencia artificial para automatizar distintas etapas de un ataque informático, desde el reconocimiento hasta el posible robo de información, con una intervención humana limitada.

Microsoft señaló que el sistema puede funcionar con distintos modelos de IA y que también habría sido utilizado por otros grupos durante octubre.

ConnectWise suspende servicios tras el ataque

ConnectWise suspendió el 17 de octubre sus servicios Cloud Backup, Cloud Management y SaaS Security para contener la amenaza. El restablecimiento gradual comenzó el 21 de octubre y la empresa advirtió que la recuperación tomaría varios días.

Mientras tanto, recomendó a sus clientes mantener desactivadas las conexiones afectadas. La embajada china en Washington no respondió a las solicitudes de comentarios, mientras que el Gobierno de China suele rechazar las acusaciones de ciberespionaje.

El incidente evidencia los riesgos de utilizar inteligencia artificial para automatizar ataques a gran escala y la importancia de revisar credenciales, permisos y accesos a servicios corporativos.

Con información de Infobae.