La intrusión en ConnectWise la dirigía un software, a 2.900 intentos de inicio de sesión por minuto

El pasado fin de semana ConnectWise apagó su propio servicio Cloud Backup después de que alguien usara sus credenciales de aplicación para entrar en las cuentas de Microsoft 365 de sus clientes. Entonces la cifra rondaba los 300 inicios de sesión logrados. Microsoft publicó el resto de la historia el 21 de octubre, y es bastante mayor que eso.

Microsoft atribuye la campaña a Storm-0940, un grupo alineado con el Estado chino al que sigue desde 2021, y aclara que los atacantes no estaban tecleando. Conducían ARTEX, un marco de pruebas de intrusión de código abierto construido como un sistema multiagente alrededor de un gran modelo de lenguaje, que se encarga de todo, del reconocimiento al robo de datos, con muy poca intervención humana. Las cifras que produjo son lo importante. Más de 2.250 inquilinos intentados. Más de 2.900 intentos de inicio de sesión por minuto. Más de 200 accesos logrados en menos de cuatro minutos con cuatro credenciales de aplicación. En varios casos, menos de tres horas desde el primer contacto hasta el acceso privilegiado. En cuatro días hasta el 14 de octubre lanzó 151.000 inicios de sesión fallidos contra 327 cuentas de ocho organizaciones.

El resumen de la propia Microsoft es la frase que conviene retener: los agentes «pueden trabajar las veinticuatro horas, los fines de semana y los festivos, e intentar varias vías de intrusión a la vez». Adivinar contraseñas era antes tan lento que nadie se molestaba con la cuenta de una persona corriente. Esa limitación ha desaparecido. Lo que significa que la diferencia entre una contraseña que se reutiliza en todas partes y otra que se usa una sola vez ha dejado de ser teórica, y lo que protege un correo electrónico debería ser una clave de acceso o una contraseña larga y única, no el nombre del perro con un número detrás.

Casi toda esta pelea ocurre en servidores que usted nunca verá. La comprobación de postura de seguridad de Tendvane cubre la parte que sí es suya, incluido si BitLocker está cifrando de verdad el disco que dice cifrar.