Revocar la integración afectada es solo el primer paso: hay que revisar consentimientos OAuth, credenciales, cuentas creadas, reglas, aplicaciones secundarias y actividad posterior en cada tenant.
Microsoft publicó el 21 de octubre de 2026 su investigación sobre Storm-0940 y el compromiso de ConnectWise Cloud Backup. El valor del caso no está únicamente en el nombre del proveedor. Muestra cómo una aplicación cloud con confianza legítima puede convertirse en una ruta de acceso transversal y cómo la automatización acelera el reconocimiento una vez obtenida esa posición.
Qué confirmó Microsoft y qué no debe extrapolarse
Microsoft atribuyó actividad a Storm-0940 y describió el uso de ARTEX, un marco con capacidades de IA agente, para automatizar descubrimiento, validación de credenciales, password spraying y abuso de OAuth. La IA aceleró tareas; no reemplazó la necesidad de permisos y rutas técnicas.
La campaña se relacionó con un compromiso de ConnectWise Cloud Backup y con acceso a organizaciones descendentes. ConnectWise controló la restauración del servicio. La investigación advierte que cambios realizados dentro de los tenants pueden persistir aunque la aplicación original sea retirada.
La publicación no demuestra que todos los clientes del producto fueran comprometidos ni que toda actividad anómala en Microsoft 365 proceda de este actor. Cada empresa necesita cruzar el periodo comunicado, sus aplicaciones conectadas, registros de auditoría y avisos directos del proveedor.
La confianza del proveedor puede ramificarse dentro del tenant
Credencial o servicio cloud comprometido
Consentimiento y permisos ya autorizados
Cuentas, sesiones y roles explorados
Nueva app, regla, clave o relación de confianza
Correo, archivos, secretos y movimiento posterior
Plan para cerrar tanto el acceso original como sus efectos
1. Delimite aplicaciones y tenants
Localice la aplicación empresarial, service principals, identificadores, credenciales, permisos delegados y de aplicación. Si administra varias filiales, no asuma que la configuración es idéntica. Registre quién aprobó cada consentimiento y qué recursos podía alcanzar.
La decisión útil no es marcar esta actividad como completada, sino conservar evidencia de alcance, responsable, fecha, resultado y excepción. En una revisión ejecutiva, esa trazabilidad permite distinguir un control existente de un control que realmente redujo la exposición. Si la organización depende de un tercero, debe pedir información verificable sin delegar la responsabilidad sobre sus propios usuarios, datos y continuidad.
2. Preserve antes de revocar
Exporte auditoría unificada, inicios de sesión, cambios de aplicaciones, actividad de Exchange, SharePoint, Entra ID y endpoints. Revocar con rapidez reduce riesgo, pero borrar objetos sin capturar contexto puede destruir la secuencia necesaria para saber qué ocurrió.
La decisión útil no es marcar esta actividad como completada, sino conservar evidencia de alcance, responsable, fecha, resultado y excepción. En una revisión ejecutiva, esa trazabilidad permite distinguir un control existente de un control que realmente redujo la exposición. Si la organización depende de un tercero, debe pedir información verificable sin delegar la responsabilidad sobre sus propios usuarios, datos y continuidad.
3. Cierre sesiones y secretos
Rote credenciales vinculadas, invalide sesiones, revise certificados y client secrets y confirme que la cuenta de emergencia no comparte dependencias. Cambiar una sola contraseña no afecta tokens, claves de aplicación o identidades creadas con posterioridad.
La decisión útil no es marcar esta actividad como completada, sino conservar evidencia de alcance, responsable, fecha, resultado y excepción. En una revisión ejecutiva, esa trazabilidad permite distinguir un control existente de un control que realmente redujo la exposición. Si la organización depende de un tercero, debe pedir información verificable sin delegar la responsabilidad sobre sus propios usuarios, datos y continuidad.
4. Busque persistencia derivada
Revise nuevas aplicaciones, propietarios, permisos, reglas de reenvío, buzones delegados, roles, dispositivos y cambios de MFA. El criterio no debe ser solo «creado por ConnectWise»: compare con la línea base y con la ventana temporal.
La decisión útil no es marcar esta actividad como completada, sino conservar evidencia de alcance, responsable, fecha, resultado y excepción. En una revisión ejecutiva, esa trazabilidad permite distinguir un control existente de un control que realmente redujo la exposición. Si la organización depende de un tercero, debe pedir información verificable sin delegar la responsabilidad sobre sus propios usuarios, datos y continuidad.
5. Contenga sin cegar la operación
Coordine con ConnectWise el estado del servicio y la restauración, pero mantenga decisiones propias sobre identidades y datos. Si el backup es crítico, pruebe alternativas y evite reactivar automáticamente una relación de confianza antes de validar credenciales y configuración.
La decisión útil no es marcar esta actividad como completada, sino conservar evidencia de alcance, responsable, fecha, resultado y excepción. En una revisión ejecutiva, esa trazabilidad permite distinguir un control existente de un control que realmente redujo la exposición. Si la organización depende de un tercero, debe pedir información verificable sin delegar la responsabilidad sobre sus propios usuarios, datos y continuidad.
6. Reduzca privilegios permanentes
Use permisos de aplicación mínimos, credenciales de corta vida, acceso condicional cuando aplique y revisiones periódicas. Separe administración del proveedor de cuentas humanas. Una integración destinada a backup no debería poder realizar cambios ajenos a su función.
La decisión útil no es marcar esta actividad como completada, sino conservar evidencia de alcance, responsable, fecha, resultado y excepción. En una revisión ejecutiva, esa trazabilidad permite distinguir un control existente de un control que realmente redujo la exposición. Si la organización depende de un tercero, debe pedir información verificable sin delegar la responsabilidad sobre sus propios usuarios, datos y continuidad.
7. Prepare detecciones específicas
Alerte sobre nuevos consentimientos, adición de propietarios, credenciales, accesos desde infraestructura atípica, password spraying y cambios masivos. El volumen generado por automatización exige correlación: una alerta aislada puede parecer rutinaria.
La decisión útil no es marcar esta actividad como completada, sino conservar evidencia de alcance, responsable, fecha, resultado y excepción. En una revisión ejecutiva, esa trazabilidad permite distinguir un control existente de un control que realmente redujo la exposición. Si la organización depende de un tercero, debe pedir información verificable sin delegar la responsabilidad sobre sus propios usuarios, datos y continuidad.
8. Lleve el caso al gobierno de terceros
Un Security GAP Assessment puede revisar dependencias; Análisis Forense Digital reconstruye actividad; CISO as a Service integra decisiones, comunicación y riesgo residual.
La decisión útil no es marcar esta actividad como completada, sino conservar evidencia de alcance, responsable, fecha, resultado y excepción. En una revisión ejecutiva, esa trazabilidad permite distinguir un control existente de un control que realmente redujo la exposición. Si la organización depende de un tercero, debe pedir información verificable sin delegar la responsabilidad sobre sus propios usuarios, datos y continuidad.
Cuatro pruebas antes de restablecer la confianza
Sesiones, MFA, roles y cuentas sin cambios no autorizados
Consentimientos, propietarios y secretos validados
Accesos y exportaciones correlacionados
Backup restaurado con monitoreo reforzado
Por qué la persistencia cambia la respuesta
En una cadena de suministro cloud, el proveedor puede cerrar el acceso inicial mientras el cliente conserva cambios realizados con permisos válidos. Una regla de correo, un secreto añadido o una aplicación con nuevo propietario no depende después de la credencial original. Por eso la línea de tiempo debe cubrir desde antes del aviso hasta después de la revocación y comparar objetos creados, modificados y eliminados.
Para dirección, el cierre debe incluir una lista de tenants revisados, fuentes de registro disponibles, cambios explicados, hallazgos pendientes y criterios de restauración. También debe identificar las integraciones que no pudieron auditarse por falta de retención. Esa ausencia no es prueba de compromiso, pero sí un riesgo residual que justifica monitoreo reforzado y una mejora contractual.
La revisión también debe abarcar cuentas de soporte y break-glass, porque durante una contingencia suelen ampliarse privilegios. Verifique que cualquier acceso excepcional tenga motivo, fecha de expiración y registro. Al terminar, confirme que la restauración no reintrodujo secretos antiguos desde una copia o configuración automatizada.
Preguntas frecuentes
¿Basta con eliminar la aplicación? No. Los cambios hechos con sus permisos pueden permanecer y deben investigarse por separado.
¿ARTEX atacó de forma autónoma? Microsoft describe automatización con IA agente, pero el acceso dependió de credenciales, permisos y servicios reales.
¿Todos los clientes de ConnectWise están afectados? No puede inferirse. La exposición requiere evidencia del proveedor y de cada tenant.
¿Qué registro es prioritario? Cambios de aplicaciones e identidades, inicios de sesión y actividad sobre datos durante la ventana comunicada.
Fuentes y límites
Fuente primaria: Microsoft Security Blog, 21 de octubre de 2026.
Corroboración periodística: Reuters, cobertura del 21 de octubre de 2026 sobre Storm-0940, ConnectWise y el uso de automatización con IA.
Las fuentes describen el conocimiento disponible a 22 de octubre de 2026. Los indicadores, versiones, atribuciones y cifras pueden evolucionar. Este análisis separa lo confirmado de las recomendaciones de Insylux y no sustituye las instrucciones del fabricante, la autoridad competente, una evaluación jurídica ni una investigación forense del entorno.
