Según Microsoft, aplicaciones previamente autorizadas dieron a los atacantes una vía de acceso a los entornos de clientes de Microsoft 365 durante un compromiso de la cadena de suministro de ConnectWise. La empresa atribuye la operación a Storm-0940, un grupo alineado con el Estado chino que, según indica, usó ARTEX, un marco de pruebas de penetración basado en IA agéntica, para acelerar sus ataques.
Los hallazgos aparecen entre las novedades recogidas en el boletín de Security Affairs del 25 de octubre de 2026. Otras revelaciones incluyen recomendaciones defensivas contra el ransomware SafePay, malware disfrazado de herramientas para fundadores de criptomonedas y una pena de prisión para un participante en esquemas de hacking y fraude.
Se pide a los clientes de ConnectWise conservar pruebas y revisar la actividad de las aplicaciones
Las organizaciones que investiguen el compromiso de ConnectWise deben examinar los tenants en los que las integraciones afectadas estaban autorizadas previamente, incluidas las que ya no utilizan, según recomendó Microsoft en su análisis del 21 de octubre. Microsoft aconseja identificar las aplicaciones por sus ID y no por sus nombres visibles.
El mecanismo de acceso dependía de la confianza ya concedida a las aplicaciones. Al abusar del material de autenticación de aplicaciones comprometido, Storm-0940 podía autenticarse en los entornos de los clientes sin un inicio de sesión interactivo de usuario. Microsoft informó de actividad posterior en Microsoft Graph que incluía reconocimiento, cambios en las credenciales de las aplicaciones e intentos de modificar privilegios que podrían ampliar el acceso o ayudar a mantenerlo.
La atribución de Microsoft vincula a Storm-0940 con el compromiso de una aplicación multitenant de ConnectWise. En toda la campaña ARTEX más amplia del grupo, que Microsoft observó ya en septiembre de 2026, se atacaron cientos de organizaciones en todo el mundo. Varios ataques lograron acceso privilegiado a la nube; en múltiples casos transcurrieron menos de tres horas entre el primer acercamiento al objetivo y ese acceso. Estos resultados no permiten determinar qué ocurrió en cada organización atacada ni en cada cliente de ConnectWise.
En la operación de ConnectWise, Microsoft describió que ARTEX ayudó en tareas de escaneo, reconocimiento, ataques de password spraying (pulverización de contraseñas) y abuso de aplicaciones OAuth. La compañía afirmó que la actividad no tuvo su origen en una brecha ni en una vulnerabilidad de los sistemas corporativos, productos o servicios de Microsoft.
Microsoft también advirtió que no debe equipararse la exposición de una aplicación ni una autenticación exitosa del atacante con el acceso confirmado a los datos de los clientes, ni con su robo. Por el contrario, que una búsqueda en los registros de actividad de Graph no devuelva resultados no demuestra que el acceso nunca se produjo. Los investigadores deben evaluar esos registros junto con los permisos de las aplicaciones y las pruebas de autenticación de entidades de servicio.
La recomendación de contención es mantener deshabilitadas las conexiones de las aplicaciones de ConnectWise afectadas hasta recibir instrucciones formales de restauración de ConnectWise. Los administradores deben conservar las configuraciones y los registros de investigación antes de eliminar las aplicaciones empresariales, sin aplazar la contención urgente para completar las exportaciones. Microsoft recomienda revisar la actividad desde el 15 de octubre como mínimo, ampliar las búsquedas de inicios de sesión de entidades de servicio hasta el 1 de octubre cuando existan registros e investigar la actividad relacionada anterior. Las autenticaciones exitosas y fallidas deben examinarse por separado.
La guía sobre SafePay se centra en los puntos de entrada y el control de cuentas
Según el aviso publicado por CISA el 20 de octubre, empresas e infraestructuras críticas de América del Norte, América del Sur, Europa y Australia han sufrido una operación de SafePay muy activa desde agosto de 2024.
El aviso describe varias vías para entrar en la red de una víctima: phishing, robo o adivinación de contraseñas, y explotación de debilidades en los sistemas de seguridad. Tras el acceso, los atacantes aseguran el control mediante cuentas recién creadas o secuestradas. Después, utilidades legítimas del sistema facilitan el movimiento entre sistemas, la búsqueda de archivos valiosos y la interferencia con las protecciones de seguridad. Las víctimas acaban perdiendo el acceso a los archivos cifrados y reciben una exigencia de pago en criptomonedas.
Las defensas recomendadas responden a esas fases: aplicar parches a las vulnerabilidades explotadas conocidas, prestar especial atención a los sistemas expuestos a internet, como cortafuegos y otros dispositivos perimetrales, restringir los privilegios y herramientas administrativos, y reforzar la gestión de identidades y credenciales. Las agencias también piden autenticación multifactor, especialmente para el correo web, las VPN y el acceso a sistemas críticos.
Los indicadores publicados se observaron entre noviembre de 2024 y agosto de 2026. Se recomienda a los defensores analizar el contexto antes de bloquear las direcciones IP o herramientas incluidas, ya que algunos archivos del aviso son utilidades legítimas.
Una falsa aceleradora Web3 ofrecía auditorías que ocultaban malware
Una operación independiente usó la apariencia de una aceleradora de startups para persuadir a fundadores de criptomonedas de interactuar con herramientas maliciosas para desarrolladores, según informó Elastic Security Labs el 12 de octubre.
Operando bajo la identidad de Apex Accelerator, el grupo dedicó meses a crear una presencia pública y ofreció auditorías de seguridad, herramientas de programación y créditos gratuitos de Claude y Gemini. Su sitio web Apex Arena afirmaba tener más de 200 proyectos en su cartera y haber recaudado más de 124 millones de dólares. Elastic describió las reseñas falsas y una página de invitación a un evento presencial anunciado como otros esfuerzos para generar credibilidad.
La investigación de Elastic comenzó con una alerta relacionada con @apexacc/cli. Los investigadores concluyeron que el paquete npm ya era malicioso cuando se publicó por primera vez, y no que se volvió malicioso tras un compromiso posterior de un paquete legítimo. Después, el mismo editor publicó otro paquete malicioso, @apexacc/audit.
Elastic informó de malware y puertas traseras tanto para macOS como para Windows, entre ellos CloudSyncD en macOS y un infostealer personalizado para Windows que enviaba los datos robados a través de Telegram. Un agente de programación legítimo reempaquetado también enviaba las solicitudes a modelos a través de infraestructura controlada por los atacantes.
La funcionalidad de auditoría ofrecía una falsa sensación de seguridad. Los investigadores encontraron resultados fabricados en las 18 herramientas de @apexacc/audit. Por otro lado, enviaron un proyecto ficticio al servicio remoto de puntuación que usa @apexacc/cli; obtuvo 51/100 pese a que el servicio indicaba que su evaluador de IA no estaba disponible.
Intrusiones en empresas de impuestos llevan a una condena de ocho años de prisión
Chukwuemeka Victor Amachukwu, de 40 años y nacionalidad nigeriana, fue condenado a ocho años de prisión tras declararse culpable de conspiración para cometer intrusiones informáticas y de conspiración para cometer fraude electrónico, según anunció el 19 de octubre la Fiscalía de Estados Unidos para el Distrito Sur de Nueva York.
Según la versión de la fiscalía, basada en registros judiciales y declaraciones, el esquema de hackeo contra empresas de impuestos se remonta al menos a alrededor de 2019. El spearphishing permitió a los conspiradores acceder a los sistemas de empresas estadounidenses de preparación de impuestos y robar información fiscal e identificativa de al menos unos 800 clientes. En conjunto, los conspiradores obtuvieron información de identidad robada perteneciente a miles de personas.
Las declaraciones fiscales fraudulentas buscaron reembolsos por al menos unos 8,4 millones de dólares, de los cuales se obtuvieron al menos unos 2,5 millones. Otras solicitudes fraudulentas al programa de préstamos por desastre por perjuicio económico de la Administración de Pequeños Negocios (SBA) generaron al menos unos 819.000 dólares. En un fraude de inversión aparte, Amachukwu se hizo pasar por un acaudalado financiero extranjero para vender inversiones inexistentes en cartas de crédito stand-by; ese esquema generó más de 7 millones de dólares para él y sus cómplices.
La condena incluye también un año de libertad supervisada, una restitución de 3.647.629,39 dólares y un decomiso de 10.846.634,39 dólares.
Microsoft describe controles para agentes dentro de las organizaciones
Junto a las revelaciones sobre incidentes, Microsoft usó un anuncio del 19 de octubre para describir extensiones de Project Perception destinadas a gestionar agentes de IA empresariales.
Los controles propuestos otorgan a los agentes identidades y permisos independientes de los empleados que los respaldan. Microsoft describió Dynamic Permissions, para limitar la autoridad a una tarea y a su duración; Dynamic Agent Risk, para reevaluar el comportamiento y el contexto; y Dynamic Conditional Access, para modificar el acceso a medida que evoluciona el riesgo. Los Guardian Agents están pensados para apoyar la investigación y la contención.
Son afirmaciones de Microsoft sobre sus capacidades. Según el diseño que declara, la aplicación de las normas se sitúa fuera del modelo, lo que permite controles independientes para restringir recursos, eliminar permisos de escritura, exigir aprobación humana verificada o detener un agente cuando sea necesario.
