Microsoft relata uso de agentes de IA em ataque ligado à ConnectWise

A Microsoft publicou em 21 de outubro de 2026 uma análise de segurança que associa o grupo Storm-0940 ao comprometimento de aplicações da ConnectWise. A companhia classifica o grupo como alinhado ao Estado chinês e relata uso do ARTEX, ferramenta com agentes de IA, desde setembro.

Segundo a investigação, credenciais de aplicativos que já tinham acesso autorizado permitiram alcançar ambientes de clientes do Microsoft 365. A Microsoft observou atividade posterior em parte deles. A presença de uma aplicação afetada ou uma autenticação bem-sucedida exige investigação adicional para determinar se houve acesso ou retirada de dados.

ConnectWise atualiza a previsão de recuperação

No aviso de 23 de outubro, às 14h UTC, a ConnectWise informou que continuava os testes de restauração e a validação de segurança com especialistas independentes. A previsão era concluir esse trabalho até o fim de semana, condição para devolver capacidades aos parceiros em etapas.

A empresa previa disponibilizar primeiro um processo para restaurar dados de backups existentes no começo da semana seguinte, sujeito ao sucesso dos testes. A reinscrição completa no serviço viria depois, acompanhada de instruções específicas.

A orientação é manter as conexões afetadas desativadas até receber as instruções aplicáveis ao serviço. Segundo a ConnectWise, os arquivos de backup existentes permaneciam criptografados, isolados e preservados, sem indicação de comprometimento. A revisão de cada ambiente Microsoft 365 continuava necessária.

Por que o acesso de aplicações merece atenção

A documentação do Microsoft Entra explica que autenticações de identidades de serviço acontecem sem um usuário participando do login. O aplicativo ou serviço apresenta sua própria credencial, como certificado ou segredo.

Esses registros agrupam acessos da mesma identidade sob condições iguais, incluindo status, endereço de origem e recurso. Uma linha pode reunir várias autenticações; os eventos individuais podem ser expandidos para conferência.

Continuidade e investigação precisam de responsáveis

Na avaliação editorial da Nextags, uma interrupção em um fornecedor também exige organizar a comunicação com quem depende dele. Vale definir quem acompanha os avisos, quem decide sobre a retomada e como os responsáveis por cada operação recebem as atualizações.

Equipes comerciais e de atendimento podem precisar ajustar prazos e respostas durante esse período. Uma mensagem interna com horário da última conferência e responsável pelo próximo acompanhamento ajuda a evitar orientações desencontradas.

Para agências e prestadores que atendem várias empresas, o acompanhamento deve considerar a situação de cada cliente. O encerramento de uma tarefa no fornecedor é apenas uma etapa do trabalho operacional; a equipe responsável ainda precisa conferir a condição do serviço de que depende.

Conteúdo de Angelo Sebastião Silva Goncalves. Preparado com apoio de IA. Consulte as fontes e os critérios editoriais. Conheça nossos critérios editoriais e como solicitar uma correção.