Włamanie przez ConnectWise. Microsoft wskazuje agenta AI Artex

Co się stało w ConnectWise

ConnectWise to amerykański dostawca oprogramowania dla firm świadczących usługi IT w modelu zarządzanym. Jego usługa Cloud Backup, dawniej SkyKick Cloud Backup, tworzy kopie zapasowe poczty i plików z Microsoft 365. Aby to robić, aplikacje ConnectWise mają w środowiskach klientów szerokie uprawnienia nadane z góry.

Napastnicy przejęli tożsamości kilku takich aplikacji, czyli dane, którymi program loguje się do usług Microsoftu bez udziału człowieka. Dzięki temu mogli wchodzić do środowisk klientów jako zaufana aplikacja, bez logowania konkretnego użytkownika. ConnectWise poinformował o problemie 16 października, a 17 października wyłączył siedem tożsamości aplikacji, unieważnił ich certyfikaty i wspólne dane uwierzytelniające usługi.

Firma zawiesiła też usługi Cloud Backup, SaaS Security i Cloud Management. Według Help Net Security 19 października kopie nie były wykonywane, a klienci nie mogli przywracać danych. TechCrunch podał 22 października, że ConnectWise pracuje nad przywróceniem usługi.

Jaką rolę odegrał agent AI Artex

Artex to otwartoźródłowe narzędzie do testów penetracyjnych, zbudowane z wielu współpracujących agentów opartych na dużych modelach językowych. Według Microsoftu agenci prowadzą test od rozpoznania celu aż do wyprowadzenia danych przy niewielkim udziale człowieka i budują mapę znalezionych zasobów oraz słabych punktów. Narzędzie może korzystać z dowolnego modelu AI, a Microsoft nie podał, których modeli użyła grupa Storm-0940.

Najbardziej widocznym skutkiem użycia agenta była skala i szybkość. Microsoft opisuje fale logowań do ponad 2250 środowisk, z prędkością do 2900 prób na minutę, oraz przypadki, w których od pierwszego kontaktu do uprawnień administracyjnych w chmurze minęły niecałe trzy godziny. Firma zwraca uwagę, że agentów nie ograniczają czynniki, które spowalniają ludzi, przez co obrońcy mają mało czasu na reakcję.

To ten sam Artex, którego ślady znaleziono wcześniej po atakach na banki w Korei Południowej i firmy w Japonii. Microsoft pisze, że z narzędzia korzysta kilka grup z różnych regionów, więc nie każdy atak z jego użyciem trzeba łączyć ze Storm-0940.

Oś czasu ataku według Microsoftu i ConnectWise

Daty pochodzą z wpisu Microsoft Threat Intelligence z 21 października oraz z komunikatów ConnectWise relacjonowanych przez BleepingComputer i Help Net Security.

• Wrzesień 2026 - pierwsze znane użycie Artex przez Storm-0940.
• 10-14 października - zautomatyzowana kampania zgadywania haseł na 327 kontach w ośmiu organizacjach, ponad 151 tys. nieudanych logowań. Microsoft nie zaobserwował tu udanego wejścia.
• 15 października - logowania do środowisk Microsoft 365 klientów przez przejęte aplikacje ConnectWise i pierwsze publiczne sygnały o incydencie.
• 16 października - pierwszy komunikat ConnectWise o nieuprawnionym dostępie do tożsamości aplikacji.
• 17 października - wyłączenie siedmiu tożsamości aplikacji i zawieszenie trzech usług.
• 21 października - Microsoft przypisuje atak grupie Storm-0940 i publikuje zalecenia dla obrońców.

Czego jeszcze nie wiadomo

Najważniejsza niewiadoma dotyczy danych. Microsoft zastrzega, że samo zalogowanie aplikacji nie oznacza jeszcze, że napastnik odczytał lub wyprowadził dane klientów. Jednocześnie przypomina, że Storm-0940 w przeszłości wykorzystywał przejęte aplikacje do kradzieży poczty. ConnectWise twierdzi, że kopie zapasowe pozostały zaszyfrowane i odizolowane, a do 19 października nie wskazał, jak doszło do przejęcia tożsamości aplikacji.

Liczby z różnych źródeł nie są porównywalne. Ponad 2250 to środowiska, do których próbowano się logować, a 162 to środowiska z potwierdzonym nieuprawnionym dostępem widoczne tylko u klientów firmy Huntress. Pełnej listy poszkodowanych nie opublikowano. Atrybucja do Storm-0940 jest oceną Microsoftu, której ConnectWise ani władze Chin publicznie nie skomentowały w źródłach, które sprawdziliśmy.

Co to oznacza dla firm w Polsce

Microsoft nie wymienia krajów, ale lista sektorów jest szeroka, od administracji i obronności po przemysł, finanse, prawo i media. Polskie firmy korzystają z ConnectWise najczęściej pośrednio, przez zewnętrznego dostawcę IT, który obsługuje ich Microsoft 365. Warto więc zapytać takiego partnera, czy używał usług Cloud Backup, SaaS Security lub Cloud Management.

Przypadek pokazuje też ryzyko, które rośnie wraz z liczbą agentów AI. Aplikacja z szerokimi uprawnieniami w wielu firmach jednocześnie staje się jednym punktem wejścia do wszystkich, a agent atakujący wykorzystuje taki punkt szybciej niż człowiek. W naszej ocenie przegląd uprawnień aplikacji firm trzecich powinien trafić na listę zadań każdego działu IT, niezależnie od tego, czy firma była klientem ConnectWise.

Co sprawdzić w środowisku Microsoft 365

Microsoft opublikował szczegółowe zalecenia dla administratorów. Najważniejsze z nich w skrócie:

1. Nie włączać ponownie aplikacji ConnectWise, dopóki dostawca nie poda instrukcji przywrócenia usług.
2. Nie usuwać aplikacji w pierwszym kroku, tylko najpierw zabezpieczyć logi logowań i audytu oraz konfigurację, które posłużą do analizy.
3. Przejrzeć aktywność aplikacji co najmniej od 15 października, a jeśli dane są dostępne, od 1 października.
4. Sprawdzić nowe dane uwierzytelniające aplikacji, nadane role administracyjne, zgody, reguły przekazywania poczty i zmiany w zasadach dostępu warunkowego.
5. Po zabezpieczeniu dowodów usunąć nieautoryzowane dostępy, zmienić dane uwierzytelniające i ograniczyć uprawnienia aplikacji firm trzecich do niezbędnego minimum.

Obowiązki po incydencie

Jeśli analiza wykaże dostęp do poczty lub plików z danymi osobowymi, administrator danych ocenia, czy doszło do naruszenia w rozumieniu RODO. Artykuł 33 RODO przewiduje zgłoszenie naruszenia do Prezesa UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób. Podmioty objęte krajowym systemem cyberbezpieczeństwa powinny dodatkowo sprawdzić obowiązki zgłoszenia incydentu do właściwego zespołu CSIRT. Szczegóły warto skonsultować z inspektorem ochrony danych lub prawnikiem firmy.