La ricostruzione di Microsoft
I ricercatori di sicurezza di Microsoft attribuiscono a un gruppo di hacker allineato allo Stato cinese la violazione di ConnectWise, azienda che fornisce servizi di gestione IT e accesso remoto. Secondo la ricostruzione, gli attaccanti sono entrati nel servizio di backup cloud di ConnectWise e hanno sottratto le credenziali applicative usate per collegare i dati tra ConnectWise e i clienti aziendali, che si affidano a quel servizio per salvare le copie di sicurezza delle proprie informazioni.
Con quelle credenziali, gli hacker potevano accedere all'ambiente Microsoft dei clienti come utenti autorizzati, quindi leggere email e altri file. È il punto centrale dell'accusa: non un attacco diretto a ogni singola azienda, ma l'uso di un fornitore comune come tramite per raggiungere i suoi clienti.
La velocità degli accessi e il ruolo degli agenti AI
Microsoft sostiene che gli hacker si siano avvalsi di agenti AI per colpire rapidamente circa 2.250 organizzazioni, con quasi 3.000 tentativi di accesso al minuto. Una cadenza che, secondo l'azienda, lascia ai difensori poco tempo per rilevare e reagire.
Il framework indicato è ARTEX, uno strumento open source che affianca modelli di intelligenza artificiale nel testare la solidità delle difese informatiche. Lo stesso software sarebbe stato impiegato in una recente compromissione dei sistemi finanziari della Corea del Sud, molti dei quali presentavano protezioni deboli e non prevedevano l'autenticazione a più fattori. Il collegamento tra i due episodi è riferito dalla fonte e non costituisce una conferma indipendente.
La reazione di ConnectWise e i punti da verificare
ConnectWise ha dichiarato di aver sospeso l'accesso al proprio sistema di backup cloud e di aver avviato un'indagine sulla violazione. Giovedì l'azienda ha reso noto di essere al lavoro per ripristinare il servizio.
Restano da chiarire diversi aspetti: l'effettiva estensione dei dati consultati, la durata della finestra di esposizione, il numero definitivo di organizzazioni coinvolte e le misure adottate per i clienti interessati. Le informazioni disponibili provengono in larga parte da Microsoft e dalla stessa ConnectWise, mentre non risultano conferme indipendenti né dettagli sulle notifiche inviate alle aziende colpite.