Ataque com IA invade 2.250 contas na nuvem da Microsoft hoje

Segurança Digital

Falha na integração da ConnectWise expõe milhares de contas corporativas na nuvem da Microsoft a ataques sofisticados.

Leia também: 66% dos profissionais confiam na IA sem checar e arriscam erro

Uma falha em integrações da ConnectWise permitiu que o grupo hacker Storm-0940, ligado ao governo chinês, invadisse mais de 2.250 ambientes corporativos na nuvem da Microsoft, com uso intensivo de inteligência artificial para acelerar o ataque e conquistar acesso privilegiado em poucas horas.

O que aconteceu no ataque com IA que afetou 2.250 contas em nuvem da Microsoft?

Mais de 2.250 ambientes de organizações que usam a ConnectWise integrada ao Microsoft 365 foram invadidos após os hackers explorarem credenciais de aplicativos já confiáveis na nuvem da Microsoft. Entre 10 e 14 de outubro, o Storm-0940 começou tentando forçar senhas de forma tradicional, com mais de 151 mil tentativas de login em contas de oito empresas, sem sucesso.

Diante da barreira inicial, o grupo mudou de tática e passou a mirar credenciais de aplicativos da ConnectWise que já tinham permissão para agir dentro dos ambientes corporativos. Nessa etapa, os criminosos acionaram agentes de IA para disparar cerca de 2.900 tentativas de autenticação por minuto contra os inquilinos do Microsoft 365, ritmo que derrubou as defesas em menos de três horas.

Com isso, os invasores obtiveram acesso privilegiado a dados e sistemas sensíveis de clientes globais, incluindo empresas de defesa, tecnologia, finanças e órgãos governamentais. O foco, segundo análises técnicas, é o roubo de informações estratégicas.

Quem foi responsável pelo ataque com IA às contas da Microsoft?

O ataque é atribuído ao grupo Storm-0940, apontado por equipes de inteligência digital como ligado ao governo chinês e especializado em roubo de dados. A atuação do grupo combina métodos clássicos de invasão com automação avançada e ferramentas de inteligência artificial, usadas para testar credenciais em alta velocidade e adaptar a ofensiva conforme as defesas reagem.

Ao mirar a ConnectWise, o Storm-0940 atacou um elo de confiança na cadeia de suprimentos de software: em vez de tentar quebrar diretamente cada empresa, explorou a relação de confiança entre a plataforma de gestão e a nuvem da Microsoft para multiplicar o alcance do ataque.

Entenda o contexto

A ofensiva expõe a fragilidade da cadeia de suprimentos digital, em que uma única integração confiável pode abrir portas para centenas ou milhares de organizações. Plataformas como a ConnectWise funcionam como intermediárias entre empresas e serviços de nuvem, concentrando acessos e permissões.

Manny Rivelo, CEO da ConnectWise, reconhece essa mudança de foco dos atacantes. “Atores estatais visam cada vez mais a cadeia de suprimentos de software porque uma única conexão confiável abre a porta para várias organizações”, afirmou. Segundo ele, as conexões afetadas já foram isoladas e a restauração dos serviços ocorre de forma gradual.

A empresa diz manter os arquivos de backup criptografados e isolados, sem sinais de comprometimento direto até o momento. Em nota publicada em seu centro de confiabilidade, a ConnectWise declarou: “Reconhecemos a contínua interrupção e permanecemos focados em restaurar o serviço com segurança”.

Equipes internas de engenharia, especialistas terceirizados em resposta a incidentes e analistas da Microsoft trabalham em conjunto para monitorar os ambientes e garantir que novas tentativas sejam bloqueadas.

Quais serviços da Microsoft foram impactados pelo ataque com IA?

O alvo dos invasores foram principalmente tenants corporativos do Microsoft 365, o pacote de serviços em nuvem usado por empresas para e-mail, colaboração, armazenamento de arquivos e gestão de identidades. Como as credenciais exploradas pertenciam a aplicativos integrados via ConnectWise, o ataque deu acesso a recursos que esses apps já estavam autorizados a usar dentro dos ambientes corporativos.

Na prática, isso pode incluir caixas de e-mail, documentos em pastas compartilhadas, agendas, contatos, dados de projetos e sistemas internos que dependem da autenticação da nuvem da Microsoft. O impacto exato varia conforme o que cada organização autorizou nos aplicativos conectados.

Como a Microsoft está respondendo ao ataque que comprometeu contas em sua nuvem?

A Microsoft atua principalmente no monitoramento dos sinais de invasão na sua nuvem e no suporte técnico às organizações afetadas. A equipe de Threat Intelligence da empresa rastreou o comportamento do Storm-0940, identificou o padrão das 151 mil tentativas iniciais de login e o salto para cerca de 2.900 autenticações por minuto impulsionadas por IA.

Com esses dados, a Microsoft ajusta regras de detecção, bloqueio automatizado e alertas para tentativas em massa vindas de integrações suspeitas, além de apoiar a ConnectWise e clientes na revisão de permissões de aplicativos, redefinição de credenciais e endurecimento de políticas de autenticação.

Quais medidas os usuários afetados devem tomar após o ataque?

Para empresas que usam ConnectWise integrada ao Microsoft 365, a recomendação é revisar imediatamente todas as credenciais e permissões de aplicativos, revogar acessos não essenciais e reforçar a autenticação em múltiplos fatores para contas administrativas e integrações de terceiros.

Organizações potencialmente atingidas devem ainda analisar logs de acesso em busca de atividade incomum no período do ataque, forçar redefinição de senhas estratégicas, segmentar melhor os privilégios concedidos a aplicativos e considerar auditorias externas de segurança. O episódio também pressiona por políticas mais rígidas de governança de acessos, com revisões periódicas daquilo que cada software terceirizado pode fazer dentro dos ambientes corporativos.

Enquanto a ConnectWise avança na restauração dos serviços, a expectativa é de uma onda de auditorias, atualizações de segurança e novos mecanismos de detecção voltados especificamente para ataques que usam inteligência artificial para acelerar invasões em cadeia.

Fonte: matéria original