> ## Content Index > Fetch the complete content index at: https://www.digitalbrain.news/llms.txt > Use this file to discover other available public pages before exploring further. # Microsoft: hackers chinos usaron IA para atacar ConnectWise - URL: https://www.digitalbrain.news/noticias/microsoft-hackers-chinos-ia-connectwise-artex/ - Published: 2026-10-22T06:35:32.000Z - Updated: 2026-10-22T06:37:08.000Z - Description: Microsoft ha puesto nombre al ataque contra ConnectWise: lo hizo Storm-0940, un grupo de hackers alineado con el Estado chino, y lo hizo con IA. - Author: Ramón Pérez Coronado - Tags: #noticias, microsoft, ciberseguridad, seguridad-ia, china, agentes-ia Microsoft ha puesto nombre al ataque contra ConnectWise: lo hizo Storm-0940, un grupo de hackers alineado con el Estado chino, y lo hizo con IA. Según el [informe de Microsoft Threat Intelligence](https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/?ref=digitalbrain.news) publicado el 21 de octubre, el grupo usó ARTEX, una herramienta de pruebas de intrusión con [agentes de IA](https://www.digitalbrain.news/guias/que-es-un-agente-de-ia/), para intentar entrar en más de 2.250 empresas a un ritmo de 2.900 intentos de acceso por minuto. La noticia la adelantó [Reuters](https://www.reuters.com/technology/chinese-linked-hackers-compromise-connectwise-target-hundreds-global-attack-2026-10-21/?ref=digitalbrain.news) y la detalló [CyberScoop](https://cyberscoop.com/microsoft-attributes-connectwise-supply-chain-attack-china-storm-0940/?ref=digitalbrain.news). Es uno de los primeros casos documentados de un ataque a la cadena de suministro ejecutado casi entero por agentes de IA. ## Puntos clave - **Quién:** Storm-0940, grupo alineado con el Estado chino, activo desde 2021 y centrado en robar datos. Microsoft no le conoce otros alias. - **Con qué:** ARTEX, un framework de [código abierto](https://www.digitalbrain.news/glosario/#open-source) que usa cualquier modelo de IA para encadenar agentes que hacen el ataque de principio a fin, desde el reconocimiento hasta la extracción de datos, con poca intervención humana. - **El dato que asusta:** en varios casos, del primer contacto al acceso privilegiado a la nube de la víctima pasaron menos de 3 horas. - **El alcance:** cientos de organizaciones de 14 sectores (defensa, energía, banca, Gobierno, despachos legales, semiconductores, software, medios...). Tras entrar en ConnectWise, el grupo intentó acceder a más de 2.250 tenants de Microsoft 365. - **Lo que no se sabe:** cuántas empresas sufrieron robo de datos. Microsoft avisa de que un acceso con éxito no significa necesariamente que se llevaran información. ## Qué es ConnectWise y qué le han hecho ConnectWise es una empresa americana de software para proveedores de servicios IT. Muchas de las empresas que te llevan los ordenadores, el correo y las copias de seguridad trabajan con sus herramientas. Una de ellas, Cloud Backup, hace copias de seguridad de entornos de Microsoft 365, y para eso necesita permisos muy amplios dentro del correo y los archivos de cada cliente. Ese fue el punto de entrada. ConnectWise publicó un primer aviso el 16 de octubre sobre "intentos de acceso no autorizado" a Cloud Backup, y CyberScoop ya había contado que el ataque estaba ligado a una clave secreta de su API comprometida. El sábado 17 la empresa apagó servicios. El miércoles 21 empezó a restaurarlos por fases y pidió a sus clientes que mantengan las conexiones desactivadas: calcula que la recuperación llevará varios días. Lo que hace grave el caso es el mecanismo. Los atacantes no tuvieron que robar la contraseña de nadie en cada empresa. Se hicieron con la identidad de varias aplicaciones de ConnectWise, y esas aplicaciones ya tenían permiso concedido dentro de los Microsoft 365 de sus clientes. Entraron por la puerta que el propio cliente había dejado abierta a su proveedor de confianza. ## Cómo se usó la IA en el ataque Aquí está la novedad. Storm-0940 no es un grupo nuevo, ni sus técnicas lo son: lleva años probando contraseñas en masa (lo que se llama password spraying) y metiendo credenciales en aplicaciones ya autorizadas para quedarse dentro. Lo que cambia es la velocidad. Microsoft lo cuenta en tres fases: 1\. **Del 10 al 14 de octubre**, una campaña automatizada probó contraseñas contra 327 cuentas de ocho organizaciones. Microsoft registró más de 151.000 intentos fallidos, con un pico de 2.900 por minuto el 11 de octubre y 111.000 en un solo día. Ninguno funcionó. 2\. **El 15 de octubre**, desde la misma red (las IP 144.172.64.x), empezaron a circular los primeros indicios del ataque a ConnectWise. 3\. **Después**, los agentes de IA usaron las aplicaciones robadas para entrar en los entornos de los clientes. En algunos fueron más allá: exploraron el directorio, cambiaron credenciales de aplicaciones para dejar una puerta trasera y tocaron grupos, identidades y roles de administrador. Microsoft detectó al menos una aplicación que se asignó a sí misma el rol de administrador global. La frase clave del informe es esta: los agentes "no se cansan". Trabajan día y noche, fines de semana y festivos, y prueban varios caminos a la vez. Un ataque así genera muchísimas alertas, pero va tan rápido que no deja tiempo a reaccionar de forma coordinada. Igor Tsyganskiy, vicepresidente ejecutivo de Microsoft, escribió en LinkedIn que "desde principios de octubre hay en marcha una ola de ciberataques impulsados por IA" y que el de ConnectWise es solo "uno de muchos". ## Qué es ARTEX ARTEX es un framework de código abierto pensado para pruebas de intrusión, es decir, para que los equipos de seguridad ataquen sus propios sistemas y encuentren agujeros antes que los malos. Está escrito en Go, tiene una interfaz web y funciona con cualquier modelo de lenguaje. Por defecto va en inglés, pero se puede poner en coreano, mandarín, español o japonés. Funciona como un equipo de agentes que se reparten el trabajo de un ataque completo y van guardando lo que descubren (máquinas, cuentas, vulnerabilidades) en un grafo. Microsoft dice que no es solo cosa de Storm-0940: ha visto a grupos de varias regiones del mundo usándolo, y en octubre ya se había publicado su uso contra entidades financieras de Corea. Es el problema de siempre con las herramientas de seguridad: lo que sirve para defenderse sirve para atacar. La diferencia es que antes un pentest serio necesitaba un equipo humano durante días. Ahora lo lanza un agente en horas, contra cientos de objetivos a la vez. Microsoft aclara que el ataque no se debió a ningún fallo de sus productos ni de sus sistemas. ## ¿Me afecta el ataque a ConnectWise? Solo si tu empresa, o el proveedor que te lleva la informática, usa ConnectWise Cloud Backup u otras aplicaciones de ConnectWise conectadas a Microsoft 365\. Si no sabes si es tu caso, pregúntalo hoy a quien te gestiona el IT. Si la respuesta es sí, estas son las primeras medidas que recomienda Microsoft: 1\. Mantén desactivadas las conexiones con las aplicaciones de ConnectWise afectadas hasta que ConnectWise dé instrucciones formales para restaurarlas. 2\. No borres las aplicaciones como primera reacción. Guarda antes la configuración y los registros: son la prueba de lo que ha pasado. 3\. Revisa todos los tenants de Microsoft 365 donde esas aplicaciones estén o hayan estado instaladas, aunque ya no las uses. Busca por ID de aplicación, no por nombre. 4\. Revisa la actividad desde al menos el 15 de octubre (y desde el 1 de octubre si tienes registros), incluidos los intentos fallidos. 5\. Busca credenciales añadidas a aplicaciones, roles de administrador asignados, reglas de reenvío de correo y accesos raros a archivos. Si encuentras algo, revoca permisos y cambia credenciales. ## Por qué importa a cualquier empresa que usa IA Hay dos lecturas, y las dos van más allá de ConnectWise. La primera es sobre los proveedores. Cada aplicación a la que das permiso dentro de tu Microsoft 365 o tu Google Workspace es una llave de tu casa en manos de un tercero. Las copias de seguridad, el CRM, la herramienta de firmas, el conector de IA que alguien del equipo instaló en una tarde. Si a ese tercero le roban la llave, entran sin tocar una sola contraseña tuya. Merece la pena sacar la lista de aplicaciones conectadas y preguntarse cuáles necesitan de verdad los permisos que tienen. La segunda es sobre el tiempo. Menos de 3 horas desde el primer contacto hasta el control de la nube. Un equipo de IT que revisa alertas el lunes por la mañana llega tarde a un ataque que empezó el viernes por la noche. Los atacantes ya trabajan con agentes que no duermen. La defensa no puede depender de que alguien mire el correo a tiempo: hacen falta permisos mínimos, alertas automáticas sobre cambios de roles y alguien que pueda cortar un acceso a cualquier hora. Fuente original: [Microsoft](https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/?ref=digitalbrain.news) --- **Relacionado** [![Microsoft trata a Claude Code y Codex como amenaza interna](https://storage.ghost.io/c/6d/e3/6de31f63-d0a8-45df-9c6a-481016520347/content/images/size/w300/format/webp/2026/10/microsoft-agentes-ia-amenaza-interna-guardian-agents.png)Microsoft trata a Claude Code y Codex como amenaza interna](https://www.digitalbrain.news/noticias/microsoft-agentes-ia-amenaza-interna-guardian-agents/)[![GPT-5.6 Sol halla vulnerabilidades críticas en PHP: actualiza ya](https://storage.ghost.io/c/6d/e3/6de31f63-d0a8-45df-9c6a-481016520347/content/images/size/w300/format/webp/2026/10/gpt-5-6-sol-vulnerabilidades-criticas-php-php2shell.png)GPT-5.6 Sol halla vulnerabilidades críticas en PHP: actualiza ya](https://www.digitalbrain.news/noticias/gpt-5-6-sol-vulnerabilidades-criticas-php-php2shell/)[![Altman plantea tres finales para la IA y uno le parece terrible](https://storage.ghost.io/c/6d/e3/6de31f63-d0a8-45df-9c6a-481016520347/content/images/size/w300/format/webp/2026/10/altman-tres-finales-ia.jpg)Altman plantea tres finales para la IA y uno le parece terrible](https://www.digitalbrain.news/noticias/altman-tres-finales-ia-oiea-fusion-laboratorios/)