Hackers alineados con China comprometieron el servicio de copias de seguridad en la nube de ConnectWise y accedieron a entornos de unas 2.250 organizaciones, según investigadores de Microsoft. El caso, divulgado el 22 de octubre de 2026, importa porque el robo de credenciales permitió a los atacantes hacerse pasar por usuarios autorizados y consultar correos y archivos alojados en Microsoft.
Credenciales robadas abrieron una vía hacia los clientes
La intrusión afectó el servicio cloud de respaldo de ConnectWise, empresa que ofrece herramientas de gestión de TI y acceso remoto. De acuerdo con Microsoft, los atacantes sustrajeron credenciales de aplicaciones que conectan la plataforma de ConnectWise con los sistemas corporativos de sus clientes.
Estas credenciales funcionan como una forma de autenticación entre servicios. Al obtenerlas, los hackers pudieron iniciar sesión en entornos alojados por Microsoft como si fueran usuarios autorizados, lo que les dio acceso a correos electrónicos y otros archivos. El incidente muestra cómo una brecha en un proveedor tecnológico puede convertirse en una puerta de entrada para numerosas organizaciones que dependen de sus servicios.
La información publicada no identifica a las empresas afectadas ni detalla qué archivos concretos fueron consultados o si hubo descargas confirmadas de datos. Por eso, el número de organizaciones alcanzadas no equivale necesariamente a una cifra de víctimas con información sustraída comprobada.
Agentes de IA aceleraron los intentos de acceso
Microsoft atribuyó la rapidez de la operación al uso de agentes de inteligencia artificial. Según la compañía, los atacantes intentaron iniciar sesión en alrededor de 2.250 organizaciones, con un ritmo que llegó a casi 3.000 intentos por minuto. Esa velocidad reduce el tiempo disponible para que los equipos de seguridad detecten patrones anómalos y bloqueen los accesos.
Los investigadores relacionaron la actividad con ARTEX, un marco de IA de código abierto diseñado para trabajar con modelos de inteligencia artificial y probar defensas de ciberseguridad. Su uso en una operación ofensiva evidencia que herramientas creadas para evaluar sistemas también pueden ser aprovechadas para automatizar tareas de ataque. La automatización no elimina la necesidad de credenciales válidas: en este caso, el robo de los datos de autenticación fue el elemento que permitió escalar el acceso.
Microsoft también señaló que el mismo software se había utilizado en un incidente reciente contra sistemas financieros de Corea del Sur. Ese antecedente apunta a que los agentes de IA pueden reutilizarse en campañas distintas, aunque la herramienta por sí sola no prueba quién está detrás de cada ataque ni que todos los incidentes tengan el mismo origen.
ConnectWise pausó el servicio mientras investiga
ConnectWise informó que pausó el acceso a su sistema de copias de seguridad en la nube y que estaba investigando la brecha. Al jueves 22 de octubre, la empresa trabajaba en la restauración del servicio. La interrupción puede afectar a clientes que dependen de esa plataforma para respaldar datos, aunque la información disponible no precisa el alcance operativo de esa pausa.
Para las organizaciones usuarias, el caso subraya la importancia de revisar las conexiones entre proveedores y sistemas internos: las credenciales de aplicación pueden conceder acceso amplio aunque no se haya comprometido directamente cada cuenta individual. También conviene evaluar qué permisos tiene cada integración y vigilar inicios de sesión inusuales. Microsoft advirtió que la velocidad de los intentos deja poco margen de respuesta, por lo que la detección temprana y la reducción de accesos innecesarios son especialmente relevantes.
En resumen
- Microsoft atribuyó el ataque a hackers alineados con China.
- La brecha afectó el servicio de respaldo en la nube de ConnectWise.
- Los atacantes robaron credenciales usadas para conectar sistemas de clientes.
- La campaña alcanzó alrededor de 2.250 organizaciones y casi 3.000 intentos de acceso por minuto.
- Los hackers emplearon agentes de IA vinculados al marco ARTEX.
- ConnectWise pausó el acceso al servicio mientras investiga y trabaja para restaurarlo.
