Un ciberataque con IA golpeó a ConnectWise, uno de los grandes proveedores de software para empresas de servicios de TI. Microsoft atribuye el ataque a un grupo vinculado al Estado chino, al que rastrea como Storm-0940, y dice que usó ARTEX, un framework de pentesting de código abierto que permite automatizar tareas ofensivas con cualquier modelo de IA, incluidas el reconocimiento y la exfiltración de datos. ConnectWise confirmó el 16 de octubre que investigaba accesos no autorizados en su servicio Cloud Backup, y su CEO, Manny Rivelo, reconoció después que todo apunta a que un grupo alineado con el Estado chino fue el responsable.
La campaña no apuntó a ConnectWise como objetivo final, sino como puerta de entrada a sus clientes: proveedores de TI y gestores de soporte informático que administran infraestructura de cientos de empresas en sectores que van de energía a servicios financieros. Microsoft dice que la mayoría de los intentos fracasaron, pero que el grupo logró persistencia privilegiada en la nube en muchas organizaciones. Para Marta, esto desplaza la pregunta de seguridad: ya no basta con auditar tu propia empresa, hay que preguntar qué terceros tienen acceso privilegiado a tus sistemas.
Si tu empresa trabaja con un proveedor de TI externo que usa ConnectWise -algo habitual en soporte informático subcontratado-, hay una pregunta concreta que hacer esta semana: si han confirmado el alcance del incidente en tu cuenta, si han rotado credenciales y claves expuestas, y si han revisado accesos persistentes que la contención inicial no elimina. ConnectWise lo dice explícitamente: cerrar las conexiones comprometidas no borra accesos que ya se hubieran establecido dentro de cada cliente.
Añade una pregunta fija a la revisión de cualquier proveedor con acceso remoto a tus sistemas: qué herramientas de automatización usan internamente y si auditan su propio uso de IA en tareas de soporte. No hace falta entender ARTEX en detalle; basta con saber que ya existe software que convierte un ataque dirigido en un proceso automatizado y barato de ejecutar a gran escala.
Lo que no cuenta el titular: Microsoft no ha precisado cuántas organizaciones, ni si hay alguna en España, quedaron realmente comprometidas más allá de "cientos" a nivel global, y la atribución a China la rechaza la embajada china en Washington. Conviene tratar el dato como una alerta de proveedor, no como una cifra cerrada.
Microsoft ya había detectado un patrón parecido -un framework de pentesting con IA operado por un actor chino- contra bancos surcoreanos semanas antes. Cuanto más barato sea automatizar este tipo de ataque, más probable es que llegue a proveedores medianos, no solo a grandes multinacionales.