Hackers vinculados a China usaron un sistema de IA para vulnerar a más de 2.250 empresas, según Microsoft

Microsoft atribuyó a Storm-0940, un grupo de hackers alineado con el Estado chino, el ataque a la cadena de suministro que comprometió la aplicación de respaldo en la nube de ConnectWise y afectó a más de 2.250 organizaciones en todo el mundo, según un informe publicado el 21 de octubre de 2026.

El grupo, activo desde 2021, usó desde septiembre un programa de pruebas de penetración basado en inteligencia artificial llamado ARTEX para automatizar ataques contra cientos de empresas de sectores como defensa, energía, finanzas, gobierno, manufactura y tecnología, según la compañía.

Storm-0940 es un actor estatal chino activo desde 2021 que suele obtener acceso inicial robando contraseñas y explotando aplicaciones expuestas a internet , antes de moverse dentro de los sistemas de sus víctimas con las cuentas comprometidas, de acuerdo con información de Microsoft.

En varios casos, el tiempo entre el primer intento de ingreso y la obtención de acceso privilegiado a la nube de una organización fue de menos de tres horas, según Microsoft.

La empresa remarcó que la mayoría de los intentos fracasó, pero que el grupo logró acceso privilegiado en numerosas organizaciones en poco tiempo .

Igor Tsyganskiy, vicepresidente ejecutivo de Microsoft, escribió en una publicación en LinkedIn que el ataque contra ConnectWise es apenas “uno de muchos” episodios impulsados por inteligencia artificial que la compañía observa desde comienzos de octubre.

Una contraseña robada que abrió miles de cuentas Entre el 10 y el 14 de octubre de 2026, la infraestructura de Storm-0940 lanzó una campaña automatizada de prueba de contraseñas contra 327 cuentas de ocho organizaciones que usan Microsoft 365 y Exchange Online.

Microsoft registró más de 151.000 intentos fallidos de inicio de sesión, con un pico de 2.900 fallos por minuto el 11 de octubre .

Un día después, el 15 de octubre, comenzaron a conocerse los primeros reportes del ataque a ConnectWise, con indicios que coincidían con la misma dirección IP usada en la campaña anterior.

Microsoft indicó que los atacantes usaron ARTEX para intentar ingresar a más de 2.250 clientes de la aplicación a un ritmo de 2.900 intentos por minuto , una velocidad que no deja tiempo a los equipos de seguridad para reaccionar.

La aplicación comprometida, ConnectWise Cloud Backup, permite respaldar datos de Microsoft 365 y Google Workspace y es compartida por miles de clientes.

Por tratarse de una aplicación de uso compartido, quien controlara sus credenciales podía pedir acceso a cualquier cuenta corporativa donde estuviera instalada, sin que la víctima lo autorizara, según explicó la firma de ciberseguridad Huntress.