O ataque à ConnectWise expôs os riscos associados à utilização de credenciais privilegiadas por fornecedores de serviços tecnológicos. Segundo a Microsoft, um grupo de ciberespionagem associado ao Estado chinês utilizou credenciais comprometidas do serviço ConnectWise Cloud Backup numa campanha de tentativas de acesso a ambientes empresariais.
A operação, atribuída pela Microsoft ao grupo Storm-0940, recorreu ao ARTEX, uma ferramenta de testes de intrusão baseada em agentes de inteligência artificial. A campanha combinou o acesso a credenciais de um fornecedor tecnológico com a capacidade de automatizar tentativas de autenticação contra múltiplas organizações.
Como o ataque à ConnectWise explorou acessos privilegiados
A ConnectWise fornece soluções de gestão informática, segurança e cópias de segurança utilizadas por prestadores de serviços tecnológicos. Algumas destas soluções necessitam de permissões elevadas para executar tarefas nos sistemas dos clientes.
Estas permissões tornam-se particularmente sensíveis quando as credenciais que lhes estão associadas são comprometidas. Um atacante pode tentar utilizar os mesmos mecanismos de autenticação que permitem ao fornecedor prestar os seus serviços.
Foi este o risco identificado na campanha investigada pela Microsoft. Os atacantes procuraram explorar credenciais de aplicações associadas ao ConnectWise Cloud Backup para obter acesso a ambientes empresariais, incluindo serviços Microsoft 365.
A diferença face a uma tentativa de intrusão convencional está na escala potencial. Em vez de comprometer individualmente cada organização, os atacantes podem aproveitar uma relação de confiança estabelecida entre um fornecedor tecnológico e os seus clientes.
Ferramenta de IA acelerou as tentativas de acesso
Segundo a análise atribuída à Microsoft, o Storm-0940 utilizou o ARTEX para automatizar parte da operação.
A ferramenta baseia-se em agentes de inteligência artificial capazes de apoiar tarefas habitualmente realizadas durante testes de intrusão. Neste caso, foi utilizada numa campanha de autenticação contra ambientes empresariais.
A informação divulgada aponta para tentativas de acesso a mais de 2.250 ambientes e para um ritmo que terá atingido cerca de 2.900 tentativas por minuto. Estes valores devem, contudo, ser interpretados com cautela, uma vez que não foi possível confirmar diretamente as métricas na documentação técnica original.
Importa também distinguir as tentativas de autenticação dos acessos efetivamente conseguidos. Um ambiente visado não corresponde necessariamente a uma organização comprometida.
De acordo com a Reuters, a maioria das tentativas falhou, mas os atacantes conseguiram estabelecer acessos privilegiados persistentes em algumas organizações.
A utilização de IA não significa que toda a campanha tenha decorrido sem intervenção humana. O elemento relevante é a capacidade de executar determinadas tarefas de forma automatizada, o que pode aumentar a velocidade e a escala de uma operação.
ConnectWise iniciou recuperação após o incidente
A ConnectWise identificou o incidente a 14 de outubro de 2026 e confirmou posteriormente acessos não autorizados a identidades de aplicações associadas ao Cloud Backup, anteriormente conhecido como SkyKick.
Segundo as atualizações oficiais da ConnectWise, a empresa suspendeu o Cloud Backup e, por precaução, os serviços SaaS Security e Cloud Management. Também revogou certificados utilizados nas ligações afetadas e desativou credenciais que poderiam permitir novas autenticações.
A 19 de outubro, a ConnectWise concluiu a reposição das contas e credenciais do ambiente afetado. Dois dias depois, anunciou o início da recuperação faseada dos serviços, sujeita a verificações de segurança. O processo deverá prolongar-se por vários dias.
A empresa afirma não ter encontrado indícios de comprometimento dos arquivos de cópias de segurança, que permanecem cifrados e isolados. Esta informação não permite, contudo, excluir acessos indevidos aos ambientes Microsoft 365 dos clientes.
O bloqueio das credenciais não elimina todos os riscos
Um dos aspetos mais relevantes do incidente é a possibilidade de os atacantes terem criado mecanismos de acesso independentes das credenciais inicialmente comprometidas.
A ConnectWise esclarece que a desativação das ligações afetadas impede novas autenticações através dessas identidades, mas não reverte alterações anteriormente efetuadas nos ambientes dos clientes.
Por esse motivo, recomenda aos parceiros que analisem os registos de autenticação e auditoria do Microsoft Entra ID, as permissões atribuídas a aplicações e eventuais alterações nas contas administrativas.
A empresa também disponibilizou orientações técnicas para identificar indicadores de comprometimento e verificar possíveis mecanismos de persistência.
Estas medidas são particularmente importantes para os prestadores de serviços geridos, que administram ambientes informáticos de múltiplas organizações e podem possuir permissões elevadas sobre os sistemas dos clientes.
Microsoft associa campanha a grupo ligado à China
A Microsoft atribui a operação ao Storm-0940, um grupo que associa a atividades de ciberespionagem patrocinadas pelo Estado chinês.
Segundo a Reuters, os alvos pertencem a vários setores, entre os quais defesa, energia, serviços financeiros, administração pública, indústria automóvel, semicondutores e tecnologia.
A atribuição baseia-se na investigação técnica da Microsoft e não constitui uma conclusão judicial. Pequim rejeita as acusações de envolvimento em operações de ciberespionagem.
O incidente evidencia um risco que ultrapassa a ConnectWise. Quando os atacantes conseguem explorar credenciais privilegiadas de um fornecedor tecnológico, podem tentar alcançar numerosos clientes através das relações de confiança existentes entre os respetivos sistemas.
A utilização de ferramentas de IA acrescenta uma dimensão operacional a este problema, pois permite automatizar tarefas e aumentar a velocidade das tentativas de acesso. O alcance efetivo da campanha continua, porém, dependente da análise dos ambientes individuais das organizações visadas.
Outros artigos interessantes:
