Un ciberataque con IA a través de la cadena de suministro | Orange Cyberdefense

Lo esencial de tu hack’tu de ciberseguridad

• El grupo Storm-0940 habría desviado Artex, una herramienta de pentesting dotada de IA agéntica, para automatizar intentos de conexión a gran escala.
• El robo de un acceso a la aplicación ConnectWise Cloud Backup habría permitido acceder a entornos Microsoft 365, en algunos casos en menos de tres horas, y posteriormente ampliar y/o mantener dichos accesos.
• Según las fuentes, entre 170 y más de 300 organizaciones se habrían visto afectadas, con riesgos de espionaje y acceso a datos sensibles.

Un ciberataque masivo potenciado por IA agéntica

Desde septiembre de 2026, el grupo Storm-0940, respaldado por el Estado chino según Microsoft, habría usado Artex, una herramienta de pentesting potenciada por IA, con el objetivo de lanzar un ciberataque masivo contra cientos de empresas y organizaciones. Esta campaña automatizada ilustra dos grandes realidades: la industrialización de los ciberataques potenciados por IA agéntica y la explotación de las vulnerabilidades de la cadena de suministro.

Cuando la explotación de la IA agéntica y de las vulnerabilidades de la cadena de montaje se convierte en una campaña.

Esta campaña masiva, orquestada por Storm-0940, habría permitido al grupo acceder en un tiempo récord - en algunos casos, en menos de tres horas - a recursos cloud de numerosas empresas, especialmente de sectores críticos como la defensa, la aeronáutica y las finanzas.

El modus operandi de este ataque a gran escala se basa, en un primer momento, en el uso malicioso de una aplicación de pruebas de intrusión, Artex. Esta aplicación de pentesting, que incorpora IA agéntica, permitió lanzar una amplia campaña automatizada de «password spraying», es decir, intentos masivos de conexión.

El punto culminante de la campaña fue el robo de las credenciales de acceso a la aplicación de copia de seguridad de terceros «ConnectWise Cloud Backup». Conectada a Microsoft 365 en numerosas empresas y dotada de permisos muy amplios, esta aplicación permitió a los intrusos conectarse de forma «legítima», sin contraseña ni MFA, y posteriormente añadir sus propios accesos y asignarse privilegios de administrador con el fin de elevar su nivel de privilegios y obtener un acceso ampliado y/o persistente a estos entornos.

A través de estos accesos, los atacantes pudieron infiltrarse en los canales de comunicación de estas empresas, establecer una puerta trasera de forma duradera y acceder a datos confidenciales.

A partir de ahí, los ciberatacantes pueden hacer prácticamente lo que quieran en estos tenants: suplantación de identidad, acceso a canales de comunicación para recopilar información… En este caso, nos encontramos más bien ante una forma de espionaje, escucha y acceso a datos confidenciales y sensibles.

Según las fuentes, entre 170 y más de 300 organizaciones se habrían visto afectadas. Nuestra primera recomendación es desactivar la aplicación ConnectWise en Microsoft 365, sin eliminarla. Pero, más allá de desactivarla, es imprescindible investigar los registros de conexión para identificar cualquier conexión inusual, así como cualquier acceso o privilegio de administrador añadido desde el 13 de octubre, lo que requiere un alto nivel de experiencia, analiza Sébastien De Lattin, Head of Microsoft Security en Orange Cyberdefense.