Un attacco alla supply chain che coinvolge ConnectWise Cloud Backup ha mostrato quanto rapidamente un fornitore software possa diventare il punto d’ingresso verso centinaia di aziende clienti. Secondo Microsoft, dietro l’operazione c’è il gruppo Storm-0940, allineato alla Cina, che avrebbe usato agenti basati su intelligenza artificiale per automatizzare ricognizione, tentativi di accesso e abuso delle autorizzazioni cloud.
Per un’azienda italiana il tema non è teorico: se un’applicazione già autorizzata nel tenant Microsoft 365 viene compromessa, l’attaccante può sfruttare la fiducia già concessa dal cliente e muoversi molto più velocemente del normale. In alcuni casi osservati da Microsoft, il passaggio dal bersaglio iniziale all’accesso privilegiato è avvenuto in meno di tre ore.
Che cosa è successo
Il 22 ottobre 2026 Microsoft ha reso noto che il recente compromesso della supply chain dell’applicazione ConnectWise Cloud Backup è stato attribuito a Storm-0940, un attore statale allineato alla Cina. Il gruppo è noto a Microsoft dal novembre 2024 ed è ritenuto attivo almeno dal 2021.
L’elemento più rilevante non è solo la compromissione di un’applicazione usata da molte organizzazioni, ma il modo in cui l’attacco è stato accelerato. Storm-0940 avrebbe impiegato ARTEX, un framework agentico di penetration testing scritto in Go, usato per automatizzare attività come scansione, ricognizione, password spraying e abuso di applicazioni OAuth.
Secondo Microsoft, gli attacchi guidati da ARTEX hanno preso di mira centinaia di organizzazioni nel mondo da settembre 2026, in settori molto diversi tra loro: difesa, automotive, chimica, energia, servizi finanziari, pubblica amministrazione, legale, manifattura, media, semiconduttori, software, tecnologia e organizzazioni non profit. Questo dato è importante perché conferma che non si tratta di una campagna verticale limitata a un singolo settore: il criterio di scelta sembra essere soprattutto l’opportunità di accesso.
Perché questo attacco è diverso dai soliti
Negli attacchi tradizionali, una parte consistente del tempo viene spesa per individuare sistemi esposti, testare credenziali, capire quali account abbiano più valore e quali permessi possano essere elevati. In questo caso, Microsoft descrive un’accelerazione “a velocità macchina”: gli agenti AI hanno permesso di eseguire queste fasi con tempi e volumi che riducono drasticamente la finestra di reazione per i difensori.
Un dato colpisce più di tutti: nel caso ConnectWise, Storm-0940 avrebbe tentato l’accesso a oltre 2.250 tenant a un ritmo di 2.900 tentativi di login al minuto. È una pressione operativa che rende difficile distinguere in tempo reale un’anomalia da un semplice picco di rumore, soprattutto in ambienti dove i controlli su identità, log e applicazioni di terze parti non sono maturi.
Tra il 10 e il 14 ottobre 2026, Microsoft ha osservato un’attività automatizzata di password spraying dall’indirizzo IP 144.172.64[.]99 contro 327 account distribuiti su otto organizzazioni, con l’obiettivo di accedere a Microsoft 365 ed Exchange Online. In quel periodo sono stati registrati oltre 151.000 tentativi di accesso falliti. Il picco è arrivato l’11 ottobre, con oltre 111.000 errori in un solo giorno e 2.900 fallimenti al minuto. Su 48 account si sono superati i 1.000 tentativi falliti. Microsoft ha precisato che in quella fase non sono stati rilevati accessi riusciti, emissioni di token, chiamate a Microsoft Graph o modifiche di directory.
La situazione sarebbe cambiata il 15 ottobre 2026, quando gli agenti AI hanno ottenuto accesso alle identità di più applicazioni cloud di ConnectWise e hanno iniziato a usarle per autenticarsi negli ambienti dei clienti. Questo passaggio è cruciale: non serviva più convincere un utente a fare login o sottrarre ogni volta una password. Gli attaccanti potevano sfruttare applicazioni già considerate affidabili all’interno del tenant.
Il rischio reale: la fiducia implicita nelle app cloud
Molte aziende pensano alla sicurezza soprattutto in termini di utenti, password e PC aziendali. Oggi, però, una parte crescente del rischio risiede nelle applicazioni collegate al cloud: strumenti di backup, monitoraggio, gestione, integrazione e automazione che hanno accesso a dati, caselle di posta, directory e talvolta privilegi amministrativi.
Quando una di queste app viene compromessa, l’attaccante eredita una relazione di fiducia già esistente. Secondo Microsoft, Storm-0940 ha usato proprio questo meccanismo per autenticarsi negli ambienti dei clienti sfruttando credenziali sottratte alle applicazioni, e in alcuni casi è andato oltre la semplice autenticazione arrivando a operazioni su Microsoft Graph e sulla directory.
Le attività osservate includono:
- ricognizione degli ambienti cloud;
- modifica delle credenziali applicative per mantenere persistenza;
- cambiamenti su identità, gruppi e ruoli privilegiati.
Questo punto merita attenzione: se un aggressore modifica credenziali o autorizzazioni di un’applicazione, la backdoor può restare attiva anche dopo la bonifica iniziale dell’incidente. In pratica, si può chiudere la porta principale e lasciare aperta una porta laterale che non era stata censita.
Cosa ci dice il caso Storm-0940 sul futuro degli attacchi
L’uso di ARTEX da parte di Storm-0940 non è un episodio isolato. Microsoft afferma di aver osservato attori ostili di diverse aree geografiche usare questo framework nelle proprie operazioni. Questo suggerisce che l’impiego di agenti AI offensivi non sia più una curiosità da laboratorio, ma una capacità concreta che sta entrando nel toolkit di gruppi strutturati.
Per le aziende, il cambiamento non sta tanto nell’“intelligenza” dell’attaccante quanto nella sua scalabilità. Se un gruppo può testare migliaia di tenant, automatizzare abusi OAuth e modificare permessi cloud in tempi ridotti, le difese basate solo su interventi manuali o verifiche saltuarie diventano insufficienti.
Non significa che l’AI renda inevitabile l’attacco. Significa però che servono processi di controllo più continui e visibilità molto migliore su tre aree spesso sottovalutate: identità, applicazioni autorizzate e log di attività cloud.
Cosa significa per la tua azienda
Per una PMI italiana, il primo errore sarebbe pensare: “Noi non usiamo ConnectWise, quindi il problema non ci riguarda”. In realtà la lezione è più ampia: qualsiasi software terzo con accesso al tenant Microsoft 365 o ad altri servizi cloud può diventare un vettore di attacco se compromesso a monte.
Ecco le azioni pratiche da mettere in agenda subito.
1. Fai l’inventario delle applicazioni collegate al tuo tenant
Molte aziende non sanno con precisione quante app abbiano accesso a Microsoft 365, alla posta o ai file. Bisogna censire quali applicazioni sono autorizzate, chi le ha approvate e con quali permessi operano.
2. Rivedi i permessi OAuth e i ruoli privilegiati
Le app non dovrebbero avere più autorizzazioni del necessario. Se uno strumento di backup, sincronizzazione o gestione ha privilegi eccessivi, in caso di compromissione il danno cresce enormemente.
3. Monitora i log di accesso e le modifiche alle identità
Un’ondata di login falliti, nuove credenziali applicative, cambi di privilegi o accessi da applicazioni note ma in orari o pattern insoliti devono generare allerta. È una delle aree in cui un servizio di sicurezza informatica può fare la differenza.
4. Applica MFA e policy di accesso rigorose, ma non fermarti lì
L’autenticazione a più fattori resta fondamentale per gli utenti, ma questo caso dimostra che il problema può spostarsi sulle applicazioni già autorizzate. Serve quindi una strategia che copra anche identità non umane, account di servizio e integrazioni cloud.
5. Verifica la catena dei fornitori IT
Chiedi ai partner tecnologici come gestiscono incidenti, logging, segregazione degli accessi e risposta a compromissioni di applicazioni cloud. La supply chain non è un tema da grandi multinazionali: riguarda anche il gestionale, il backup, il monitoraggio e l’assistenza remota usati da una PMI.
6. Prepara un piano di risposta che includa le applicazioni cloud
In caso di incidente non basta cambiare password agli utenti. Potrebbe essere necessario revocare consensi applicativi, ruotare credenziali, verificare modifiche alla directory e ripristinare configurazioni note. Anche la disponibilità di copie sicure e isolate dei dati resta centrale, soprattutto per continuità operativa e recupero: su questo può essere utile rivedere la strategia di backup remoto.
7. Affidati a una gestione continuativa, non solo reattiva
Molti segnali deboli emergono da manutenzione costante, controllo degli endpoint, aggiornamenti e supervisione dell’infrastruttura. Un approccio strutturato di gestione IT desktop e postazioni aiuta a ridurre le aree scoperte e a far emergere comportamenti anomali prima che diventino incidente.
La lezione più importante: l’identità è il nuovo perimetro
Questo caso conferma una tendenza ormai chiara: il perimetro non è più solo la rete aziendale, ma l’insieme di identità, applicazioni e autorizzazioni che vivono nel cloud. Se l’aggressore controlla una app trusted o riesce a modificarne le credenziali, può entrare senza “forzare la porta” nel modo tradizionale.
Per questo le aziende devono smettere di considerare Microsoft 365, i backup cloud e le integrazioni SaaS come strumenti “esterni” alla sicurezza. Sono parte del cuore operativo dell’azienda e vanno gestiti con la stessa attenzione riservata ai server, ai firewall e ai PC.
L’aspetto nuovo dell’episodio ConnectWise non è solo la compromissione della supply chain, ma la combinazione tra fiducia preesistente nelle applicazioni e automazione offensiva spinta dall’AI. È questo mix a ridurre il tempo utile per accorgersi del problema e contenerlo.
Domande frequenti
Se non uso ConnectWise, sono al sicuro?
No. Il punto non è il singolo fornitore, ma il rischio legato a qualsiasi applicazione terza con accesso al tuo ambiente cloud.
L’autenticazione a più fattori basta a fermare questi attacchi?
Aiuta molto sugli account utente, ma non è sufficiente se viene compromessa un’applicazione già autorizzata nel tenant.
Cosa devo controllare per prima cosa?
L’elenco delle app autorizzate, i loro permessi, i log di accesso e ogni recente modifica a credenziali applicative, gruppi o ruoli amministrativi.