Hackers alineados con el Estado chino vulneraron el servicio de copias de seguridad en la nube de ConnectWise y robaron credenciales que conectaban el servicio con los sistemas de sus clientes, según investigadores de seguridad de Microsoft. Esas credenciales podrían permitir a los atacantes acceder a los entornos de los clientes alojados en Microsoft como usuarios autorizados y llegar a correos electrónicos y otros archivos.
Microsoft afirma que los hackers usaron agentes de IA para realizar casi 3.000 intentos de inicio de sesión por minuto contra unas 2.250 organizaciones. Esa cifra se refiere a intentos de acceso; la fuente no indica cuántos tuvieron éxito ni identifica a las organizaciones afectadas.
Cómo se produjo la brecha
Las credenciales de aplicación robadas vinculan el servicio de copias de seguridad de ConnectWise con las cuentas corporativas de sus clientes. Una vez dentro del entorno Microsoft de un cliente, los atacantes podrían acceder a los datos allí almacenados, en lugar de limitarse a las copias de seguridad que guarda ConnectWise.
Microsoft atribuyó la velocidad de la campaña a ARTEX, un marco de IA de código abierto diseñado para trabajar con modelos de IA y poner a prueba las defensas de ciberseguridad. La fuente afirma que el mismo software se usó en una reciente intrusión en los sistemas financieros de Corea del Sur, donde, según se informó, muchas organizaciones tenían una seguridad deficiente y carecían de autenticación multifactor. No ofrece detalles técnicos sobre el uso de ARTEX en ninguno de los dos incidentes.
La respuesta de ConnectWise
ConnectWise dijo que había suspendido el acceso a su sistema de copias de seguridad en la nube y que estaba investigando la brecha. El 22 de octubre, la empresa dijo que trabajaba para restablecer el servicio. La fuente no identifica a los clientes afectados, no indica cuántas cuentas fueron vulneradas con éxito ni especifica qué datos obtuvieron los atacantes.
El informe de Microsoft pone de relieve cómo el robo de credenciales puede convertir una brecha en un proveedor de servicios en una vía de acceso a los sistemas de sus clientes. Sin embargo, el ritmo de intentos de inicio de sesión reportado no demuestra, por sí solo, que todas las organizaciones atacadas hayan sido vulneradas.
Por qué importa
En las empresas que conectan cuentas alojadas en Microsoft con el servicio de copias de seguridad de ConnectWise, las credenciales robadas podrían exponer correos electrónicos y otros archivos fuera del sistema de copias de seguridad. La fuente no identifica a los clientes afectados ni confirma cuántas organizaciones sufrieron accesos a sus datos, por lo que el alcance real sigue sin estar claro.
