Microsoft 365: l’attacco lo guida un agente AI

Hanno provato a indovinare le password, per quattro giorni, e Microsoft non ha visto un solo accesso riuscito. Poi hanno cambiato strada. Sono entrati con la chiave di un’applicazione di backup già autorizzata a entrare nel tuo Microsoft 365. E stavolta a girare quella chiave in migliaia di serrature diverse non c’era una persona: c’era un programma che ragiona da solo.

Il 21 ottobre Microsoft ha messo nero su bianco cosa è successo nelle ultime due settimane a chi usa Microsoft 365 attraverso un fornitore di servizi informatici. Un gruppo allineato allo Stato cinese, che Microsoft chiama Storm-0940, ha usato un sistema di agenti AI per provare a entrare in più di 2.250 tenant, cioè gli spazi Microsoft 365 delle organizzazioni clienti, al ritmo di 2.900 tentativi al minuto. E nella campagna più ampia dello stesso gruppo, racconta Microsoft, in diversi casi dalla scelta del bersaglio all’accesso privilegiato al suo cloud sono passate meno di tre ore.

Cosa è successo, in ordine

La storia comincia con un metodo vecchio come internet: provare password a raffica. Fra il 10 e il 14 ottobre, racconta Microsoft, un’infrastruttura di Storm-0940 ha tentato di entrare in 327 account di otto organizzazioni, puntando a Microsoft 365 e alla posta di Exchange. Oltre 151.000 tentativi falliti, con un picco l’11 ottobre di 2.900 errori al minuto. Quasi il 98% dei tentativi ha ricevuto una risposta che indicava un account bloccato. Risultato: zero accessi.

Il 15 ottobre cambia tutto. Lo stesso intervallo di indirizzi smette di bussare alle porte degli utenti e comincia a entrare dalla porta di servizio. Qualcuno ha messo le mani sulle credenziali delle applicazioni di ConnectWise Cloud Backup, un servizio che i fornitori di servizi gestiti (quelli che ti seguono il server, la posta e i computer) usano per fare le copie di sicurezza dei dati Microsoft 365 dei loro clienti. Per fare il suo mestiere, quell’applicazione ha accesso a caselle di posta, file su OneDrive e SharePoint, chat di Teams e all’elenco degli utenti di ogni azienda in cui è installata. Chi ha la sua chiave, eredita tutto questo.

Huntress, un’azienda di sicurezza che vigila su molti di quei tenant, ha visto gli accessi arrivare quella mattina fra le 6:13 e le 8:34 (ora UTC), un’azienda dopo l’altra, a pochi secondi di distanza, in ordine alfabetico di identificativo. Per Huntress, quella sequenza punta a uno script che scorreva una lista di bersagli, non a una persona che sceglieva. Huntress ha contato 173 tenant con accessi confermati. ConnectWise ha pubblicato il primo avviso il 16 ottobre, ha staccato le connessioni, ha sospeso il servizio e il 21 ottobre ha cominciato a riaccenderlo a tappe, avvisando che ci vorranno giorni.

Poi, sempre il 21 ottobre, Microsoft ha dato il nome e il metodo. Il gruppo è Storm-0940, attivo dal 2021, specializzato nel furto di dati. Il metodo è ARTEX. E ConnectWise, nell’aggiornamento delle 22:00 UTC dello stesso giorno, ha scritto che dalle prove disponibili «sembra» sia stato un gruppo legato allo Stato cinese, con «un framework di agenti AI liberamente disponibile» usato per «automatizzare e accelerare l’operazione».

Due settimane. Un fornitore in mezzo. E in fondo alla catena, aziende che ConnectWise non l’hanno mai scelto: l’ha scelto il loro fornitore.

Cos’è ARTEX, e perché la parola chiave è «velocità»

ARTEX è un programma nato per chi fa i test di penetrazione, cioè per chi viene pagato per provare a bucare un’azienda prima che lo faccia qualcun altro. È un sistema a più agenti: diversi modelli di linguaggio che si dividono il lavoro, dalla ricognizione iniziale fino al furto dei dati, con pochissimo intervento umano. Funziona con qualunque modello AI. Parla inglese, coreano, mandarino, spagnolo e giapponese. Mentre lavora, costruisce una mappa di quello che trova: macchine, account, buchi.

In ottobre era già finito nelle cronache per i furti di dati alle banche coreane, la storia che avevamo raccontato in Sito hackerato: ora lo scassinatore è l’AI. Dopo quello scandalo, scrive The Hacker News, chi lo sviluppava ha chiuso il codice. Troppo tardi: Microsoft dice di aver visto gruppi di diverse aree del mondo usarlo. E Zscaler, che ha analizzato una copia configurata da TAG-217, un gruppo diverso da Storm-0940, ha trovato dentro i file di istruzioni: ARTEX collegato a un modello DeepSeek attraverso un gateway, cioè un servizio che fa da intermediario, con altre configurazioni che citavano GLM e Grok, e prompt che chiedevano ai modelli di dividersi le indagini e di controllarsi a vicenda, con istruzioni perché GLM rivedesse il lavoro fatto da DeepSeek e dai suoi sotto-agenti. Nella stessa cartella c’era la cronologia dei prompt di Claude Code. Chi attacca usa gli stessi strumenti di chi costruisce.

Ma la cosa che Microsoft ripete più volte nel suo rapporto non è la raffinatezza. È il tempo. Gli agenti «lavorano giorno e notte, nei weekend e nei giorni festivi, e provano più strade di attacco contemporaneamente». La massa di tentativi genera allarmi, certo. Solo che arrivano a una velocità che, avverte Microsoft, lascia pochissimo tempo per rispondere e chiudere l’accesso in modo coordinato. Nella maggior parte dei casi l’attacco non è andato a segno, ammette Microsoft. Ma nella campagna più ampia di Storm-0940, in diversi casi, dalla scelta del bersaglio all’accesso privilegiato alla sua infrastruttura cloud sono passate meno di tre ore. Un venerdì sera basta e avanza.

La difesa aveva sempre avuto un alleato silenzioso: la fatica dell’attaccante. Quell’alleato è andato in pensione.

La chiave era già dentro: la fiducia delegata

Qui sta il punto che vale per qualunque azienda, non solo per chi usava quel backup. Microsoft lo scrive in una riga che merita di essere letta due volte: gli agenti hanno usato ARTEX per «autenticarsi negli ambienti Microsoft 365 dei clienti attraverso applicazioni a cui era già stato concesso l’accesso», e questo ha permesso di «operare senza bisogno di un accesso interattivo dell’utente».

Tradotto. Quando un’applicazione viene collegata al tuo Microsoft 365, qualcuno con i poteri di amministratore le dà il permesso di leggere la posta, i file, l’elenco delle persone. Da quel momento l’applicazione ha una chiave sua, che non passa dalla tua password e nemmeno dal codice che ti arriva sul telefono. L’autenticazione a due fattori protegge te. Non protegge la chiave dell’applicazione, perché quella chiave esiste apposta per lavorare quando tu non ci sei. Il backup gira di notte. Nessuno si collega. È il suo mestiere.

Per questo, spiega Todyl, un’altra società che ha seguito il caso, chiudere le sessioni degli utenti non interrompe questo accesso. Disattivare l’applicazione nel proprio tenant ferma l’emissione di nuovi gettoni di accesso, ma quelli già emessi restano validi fino a novanta minuti. E un tenant in cui l’applicazione resta accesa resta esposto finché il fornitore non cambia la credenziale.

C’è un passaggio ancora più inquietante. In almeno un tenant, Huntress ha visto l’applicazione ConnectWise per Teams assegnarsi da sola il ruolo di amministratore globale, e poi lanciare uno script che aggiungeva credenziali nuove ad altre due applicazioni: lo strumento di gestione del fornitore informatico e, con una certa ironia, l’applicazione di sicurezza di Huntress stessa. Chi entra con una chiave presa in prestito si fabbrica subito chiavi proprie. Microsoft lo dice senza giri di parole: queste modifiche «possono restare attive come una porta sul retro anche dopo che l’applicazione compromessa originale è stata sistemata». Le chiavi aggiunte durante l’attacco possono tenere aperta la porta anche dopo la riparazione: vanno cercate e tolte.

Tu ti fidavi del tuo fornitore informatico. Il tuo fornitore si fidava del suo strumento di backup. Lo strumento di backup si fidava di una chiave. Tre anelli di fiducia, uno dentro l’altro. Ed è esattamente questo il problema: la fiducia delegata non si vede, e quello che non si vede non si controlla.

Cosa c’entra la tua azienda, che ConnectWise non l’ha mai sentita nominare

La prima domanda è onesta: ma io non uso ConnectWise. Forse. ConnectWise è uno strumento per chi gestisce l’informatica di altri. Se la tua posta sta su Microsoft 365 e non la gestisci da solo, c’è una catena di fornitori fra te e Microsoft, e tu vedi solo il primo anello. Quali applicazioni hanno accesso al tuo tenant, con quali permessi, da quando, è una domanda che vale la pena fare oggi, se nessuno te l’ha mai presentata come una domanda.

Microsoft non dice quante aziende abbiano davvero perso dati, e precisa che la presenza dell’applicazione, o anche un accesso riuscito, «non indica necessariamente che i dati del cliente siano stati letti o portati via». ConnectWise dice che gli archivi di backup sono cifrati, isolati e intatti, ma aggiunge una frase che ogni cliente dovrebbe sottolineare: le sue azioni «non rimuovono l’accesso non autorizzato che potrebbe già essere stato stabilito dentro i singoli tenant dei clienti», che «richiedono una revisione separata». In altre parole: il fornitore ha chiuso casa sua. Casa tua la devi controllare tu, o chi lavora per te.

Le indicazioni di Microsoft e di Huntress sono precise, e si possono girare pari pari al proprio consulente. Tenere le connessioni ConnectWise disattivate finché non arrivano istruzioni ufficiali. Non cancellare le applicazioni come prima mossa: prima si conservano configurazioni e prove. Controllare ogni tenant in cui quelle applicazioni sono o sono state installate, anche se non si usano più da anni. Rivedere gli accessi delle applicazioni almeno dal 15 ottobre e, se i registri lo permettono, dal 1° ottobre. Cercare credenziali nuove aggiunte alle applicazioni dal 13 ottobre in poi, nuove applicazioni, nuovi proprietari, ruoli privilegiati assegnati, cambi ai metodi di autenticazione. E un dettaglio che fa capire con chi si ha a che fare: alcune letture dell’elenco utenti attraverso Microsoft Graph, l’interfaccia con cui i programmi accedono ai dati Microsoft, non lasciano traccia nei registri, avverte Huntress. Per questo consiglia di agire subito, senza aspettare la prova di un accesso.

Poi c’è la regola che vale sempre, e che Microsoft mette in fondo al rapporto come se fosse ovvia: alle applicazioni che lavorano su più organizzazioni vanno dati solo i permessi che servono al loro lavoro, il «minimo privilegio». Un backup della posta non ha bisogno di poter nominare amministratori. Se può farlo, qualcuno un giorno lo farà al posto suo.

La settimana scorsa avevamo raccontato chiavi API rubate e usate per spendere a nome di altri, e stamattina l’AI che trova le falle di PHP prima dei criminali. Il filo è lo stesso, visto da tre lati: le chiavi contano più delle password, e chi le cerca adesso ha un aiutante che non dorme.

La domanda che cambia

Per vent’anni la sicurezza di una piccola impresa si è giocata su una domanda: la password è abbastanza forte? Poi è arrivata la seconda: hai attivato il codice sul telefono? Tutte e due restano giuste. Nessuna delle due avrebbe fermato questo attacco, perché questo attacco non ha mai chiesto a nessuno di accedere.

Igor Tsyganskiy, vicepresidente esecutivo di Microsoft, ha scritto su LinkedIn che «dall’inizio di ottobre è in corso un’ondata di attacchi informatici guidati dall’AI», e che ConnectWise è «uno dei tanti». Se è così, e il rapporto di Microsoft lo rende credibile, la domanda nuova non riguarda più la tua password. Riguarda chi ha una chiave della tua azienda che entra senza una password, senza un codice, e lavora di notte. Il backup, il gestionale in cloud, il programma delle firme, il plugin della posta, il connettore che qualcuno ha approvato nel 2022 e che non usa più nessuno.

È inventario. E l’inventario, quando un attacco si misura in ore, si fa prima.

Come portarlo nel tuo lavoro

Se hai Microsoft 365, questa settimana fai una cosa sola: chiedi a chi te lo gestisce l’elenco delle applicazioni collegate al tuo tenant, con i permessi di ciascuna e la data in cui sono stati concessi. Si trova nel centro di amministrazione di Microsoft Entra, sotto le applicazioni aziendali. Se la risposta è «ci guardo», bene. Se la risposta è «non serve», hai imparato qualcosa sul tuo fornitore.

Poi tre domande, nell’ordine. Usiamo ConnectWise Cloud Backup, o lo abbiamo usato in passato con il nome SkyKick? Se sì, l’applicazione è stata disattivata e non cancellata, e qualcuno ha guardato gli accessi delle applicazioni dal 1° ottobre e le credenziali aggiunte dal 13? Se no, quali altre applicazioni hanno permessi di amministratore sul nostro tenant, e perché?

Infine, cambia il criterio con cui dici sì. Ogni volta che un nuovo strumento chiede «l’accesso alla tua organizzazione», leggi cosa chiede. Leggere la posta per fare il backup è il suo lavoro. Gestire gli utenti e i ruoli, quasi mai. Un permesso in più oggi è una chiave in più in giro domani, e abbiamo appena visto cosa succede alle chiavi in giro quando a cercarle c’è un programma che non si stanca.

La sicurezza è sapere a chi hai dato le chiavi. Il lucchetto viene dopo.

👉 Leggi anche: LiteLLM violato: la chiave era finita nei log

Domande frequenti

Cosa è successo esattamente a ConnectWise Cloud Backup?

Qualcuno ha ottenuto le credenziali delle applicazioni di ConnectWise Cloud Backup (il servizio prima si chiamava SkyKick), usate dai fornitori informatici per fare i backup di Microsoft 365 dei loro clienti. Con quelle credenziali, dal 15 ottobre 2026, degli agenti AI hanno fatto accesso ai tenant dei clienti ereditando i permessi dell’applicazione. ConnectWise ha pubblicato l’avviso il 16 ottobre, ha sospeso il servizio e dal 21 ottobre lo sta ripristinando a tappe. Microsoft attribuisce l’attacco al gruppo Storm-0940.

Chi è Storm-0940?

Secondo Microsoft è un gruppo allineato allo Stato cinese, attivo dal 2021, che prende di mira organizzazioni di molti settori per rubare dati. Storicamente entra provando password a raffica e sfruttando applicazioni esposte su internet, e nel cloud resta dentro aggiungendo credenziali ad applicazioni già autorizzate. Da settembre 2026 usa il sistema di agenti ARTEX per automatizzare gli attacchi.

Cos’è ARTEX?

Un programma di test di penetrazione basato su più agenti AI, scritto in Go, che può usare qualunque modello di linguaggio e che conduce un attacco dalla ricognizione al furto dei dati con pochissimo intervento umano. Era a codice aperto; dopo l’uso negli attacchi alle banche coreane, in ottobre, chi lo sviluppava ha chiuso il codice. Microsoft dice di aver visto gruppi di diverse aree del mondo usarlo.

L’autenticazione a due fattori mi avrebbe protetto?

No, perché non è entrata in gioco. L’accesso è avvenuto con le credenziali dell’applicazione, che lavora senza che un utente faccia login, quindi senza password e senza codice sul telefono. La MFA resta indispensabile per proteggere gli account delle persone; per le applicazioni collegate contano i permessi che gli hai dato e il controllo di chi le usa.

Non uso ConnectWise. Devo fare qualcosa lo stesso?

Sì: chiedere a chi gestisce il tuo Microsoft 365 l’elenco delle applicazioni autorizzate sul tenant e i loro permessi. ConnectWise è uno strumento per fornitori, quindi potresti usarlo senza saperlo. E, in ogni caso, anche per gli altri strumenti collegati vale la pena chiedere quali credenziali usano, quali permessi hanno ricevuto e se possono entrare senza il login di una persona.

Quante aziende hanno perso dati?

Non si sa. Microsoft non dà un numero e precisa che un accesso riuscito non significa per forza che i dati siano stati letti o portati via; ConnectWise dice che gli archivi di backup sono intatti ma di non poter vedere cosa è successo dentro i singoli tenant dei clienti. Huntress ha confermato accessi in 173 tenant fra quelli che segue.

Fonti

• Microsoft Security Blog, «AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise», 21 ottobre 2026
• ConnectWise Trust Center, avviso «Cloud Backup (formerly known as SkyKick) Service Interruption», pubblicato il 16 ottobre e aggiornato al 22 ottobre 2026
• The Hacker News, «China-Linked Hackers Use ARTEX AI Agents in ConnectWise Supply Chain Attack», 22 ottobre 2026
• CyberScoop, «Microsoft pins ConnectWise supply-chain attack to China-state aligned threat group», 21 ottobre 2026
• The Hacker News, «Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants», 17 ottobre 2026