Hackers chinos usaron agentes de IA para vulnerar ConnectWise y espiar a miles

Hackers alineados con el Estado chino vulneraron al gigante de gestión de TI ConnectWise, robando credenciales de aplicaciones que les permitieron espiar a miles de clientes corporativos. Investigadores de seguridad de Microsoft confirmaron la intrusión en el servicio de copia de seguridad en la nube de ConnectWise, lo cual expuso los enlaces de datos utilizados por las empresas para respaldar su información.

Los atacantes aprovecharon la inteligencia artificial para automatizar la explotación de estas credenciales robadas, dirigiéndose a aproximadamente 2.250 organizaciones en una campaña rápida y coordinada. Este incidente destaca una amenaza creciente donde las herramientas de IA ya no son solo riesgos teóricos, sino componentes activos en operaciones de ciberespionaje a gran escala.

Qué ocurrió

Investigadores de seguridad de Microsoft identificaron que los hackers irrumpieron en el servicio de copia de seguridad en la nube de ConnectWise. Los intrusos no solo robaron datos estáticos; extrajeron credenciales de aplicaciones. Estas credenciales son críticas porque establecen los enlaces de datos confiables entre ConnectWise y sus clientes corporativos. Muchos de estos clientes dependen del servicio en la nube para respaldar los datos de su empresa, lo que significa que las credenciales comprometidas proporcionaban una vía directa hacia sus sistemas internos.

Una vez que los hackers poseían estas credenciales, podían iniciar sesión en los entornos alojados por Microsoft de los clientes como si fueran usuarios autorizados. Este nivel de acceso les permitía ver correos electrónicos, acceder a archivos y monitorear actividades sin generar sospechas inmediatas. La vulneración convirtió efectivamente una relación de proveedor confiable en una vulnerabilidad para miles de negocios que habían depositado su confianza en la infraestructura de ConnectWise.

ConnectWise respondió pausando el acceso a su sistema de copia de seguridad en la nube para contener los daños. La compañía declaró que está investigando activamente la brecha y trabajando en la restauración del servicio. Hasta el jueves, los esfuerzos de restauración estaban en marcha, pero el alcance de la exposición de datos sigue siendo una preocupación significativa para las organizaciones afectadas.

Cómo funciona

La escala y la velocidad de este ataque fueron impulsadas por el uso de agentes de IA. Microsoft informó que los hackers intentaron inicios de sesión a un ritmo de casi 3.000 por minuto. Este volumen es difícil de gestionar manualmente para los equipos humanos de seguridad, ya que abruma las herramientas tradicionales de monitoreo y deja a los defensores con poco tiempo para detectar y responder a las anomalías.

La herramienta específica utilizada fue ARTEX, un framework de IA de código abierto diseñado para trabajar con modelos de IA y realizar pruebas de estrés a las defensas cibernéticas. En este contexto, los hackers reutilizaron una herramienta destinada a pruebas defensivas convirtiéndola en un arma ofensiva. ARTEX automatizó el proceso de usar las credenciales robadas para intentar el acceso simultáneamente en miles de cuentas, evitando la necesidad de intervención manual y permitiendo a los atacantes escalar sus operaciones eficientemente.

Este mismo software de IA había sido vinculado previamente a una vulneración de los sistemas financieros de Corea del Sur. En ese caso, muchos de los sistemas objetivo tenían protocolos de seguridad débiles y carecían de autenticación multifactor, lo que los hacía vulnerables a ataques automatizados de fuerza bruta o relleno de credenciales. La recurrencia de ARTEX en estas brechas de alto perfil sugiere que los actores alineados con Estados están estandarizando sus kits de herramientas alrededor de frameworks de IA accesibles y potentes.

Detalles clave

• Objetivo: ConnectWise, un importante proveedor de gestión de TI y acceso remoto.
• Atacante: Hackers alineados con el Estado chino, según investigadores de seguridad de Microsoft.
• Método: Vulneración del servicio de copia de seguridad en la nube de ConnectWise para robar credenciales de aplicaciones.
• Escala: Aproximadamente 2.250 organizaciones fueron objetivo y accedidas.
• Herramienta: ARTEX, un framework de IA de código abierto utilizado para automatizar intentos de inicio de sesión a casi 3.000 por minuto.
• Impacto: Los hackers obtuvieron acceso a nivel autorizado a entornos alojados por Microsoft, incluyendo correos electrónicos y archivos.

Por qué importa

Para desarrolladores de software y líderes de TI, este incidente subraya la fragilidad de la seguridad de la cadena de suministro. Cuando un proveedor como ConnectWise se ve comprometido, el riesgo se propaga a cada cliente que confía en ese proveedor con sus enlaces de datos. Ya no es suficiente asegurar solo su propio perímetro; también deben evaluar la postura de seguridad de los servicios de terceros que se integran con su infraestructura. El robo de credenciales de aplicaciones es particularmente peligroso porque evade las protecciones a nivel de usuario, otorgando a los atacantes acceso sistémico.

El uso de agentes de IA como ARTEX cambia las dinámicas de la respuesta a incidentes. Los centros de operaciones de seguridad tradicionales dependen de alertas e investigación humana, pero una velocidad de ataque de 3.000 inicios de sesión por minuto comprime la ventana de decisión a segundos. Los defensores deben asumir ahora que las amenazas automatizadas superarán las respuestas manuales. Esto hace necesaria una transición hacia mecanismos de defensa automatizados que puedan igualar la velocidad de los ataques impulsados por IA, como la detección de anomalías en tiempo real y la revocación automática de credenciales.

Además, la reutilización de ARTEX en diferentes contextos geopolíticos, desde el sector financiero de Corea del Sur hasta firmas globales de gestión de TI, indica que estas herramientas se están convirtiendo en commodities entre actores de amenazas avanzados. Las organizaciones ya no pueden tratar los ciberataques potenciados por IA como raros o experimentales. Son una realidad persistente que requiere arquitecturas de seguridad actualizadas, incluida la aplicación estricta de la autenticación multifactor y principios de confianza cero (zero-trust) para todas las conexiones de servicio a servicio.

Qué puede hacer

• Audite todas las integraciones de terceros e identifique qué servicios mantienen credenciales de aplicación para su entorno.
• Implemente una autenticación multifactor estricta para todas las cuentas administrativas y de servicio, especialmente aquellas vinculadas a copias de seguridad en la nube.
• Monitoree patrones de inicio de sesión inusuales, como intentos de alto volumen desde fuentes únicas, y automatice las respuestas para bloquearlos.
• Revise los registros de acceso para cualquier entrada no autorizada durante el período de la brecha de ConnectWise si usted es un cliente.
• Adopte un modelo de confianza cero donde las conexiones de servicio a servicio requieran verificación continua, no solo credenciales iniciales.
• Manténgase informado sobre herramientas de seguridad de IA de código abierto como ARTEX para entender cómo podrían ser reutilizadas para ataques contra sus sistemas.