ConnectWise e attacco AI a Microsoft 365: cosa controllare

L’attacco alla catena di fornitura ConnectWise non riguarda una nuova vulnerabilità da installare sul PC: il punto critico è l’accesso concesso a determinate applicazioni cloud nei tenant Microsoft 365. Il 21 ottobre 2026 Microsoft ha descritto una campagna attribuita a Storm-0940, gruppo ritenuto legato alla Cina, che ha usato il framework di agenti AI ARTEX per accelerare la ricerca di accessi e l’abuso di credenziali OAuth. Se un’organizzazione ha utilizzato le integrazioni ConnectWise coinvolte, deve verificare autorizzazioni, log e attività anomale seguendo gli avvisi del fornitore.

Che cosa è successo a ConnectWise e Microsoft 365

Secondo Microsoft Threat Intelligence, gli attaccanti hanno sfruttato la compromissione di identità applicative legate a un servizio ConnectWise multi-tenant. Non si tratta della prova che ogni installazione ConnectWise sia compromessa: l’esposizione dipende dalle specifiche applicazioni autorizzate e dalle attività osservate nel singolo tenant.

Nella ricostruzione di Microsoft, gli agenti ARTEX hanno effettuato tentativi di accesso su più di 2.250 tenant, con punte fino a 2.900 tentativi al minuto. Il numero di tenant raggiunti non equivale al numero di organizzazioni violate. Il report distingue esplicitamente tentativi falliti, accessi privilegiati in alcune vittime e modifiche osservate ai servizi cloud.

Come capire se la propria azienda è esposta

Il controllo spetta agli amministratori Microsoft 365 e Microsoft Entra, non all’utente che legge la posta da smartphone. La verifica parte dagli identificatori delle applicazioni indicati negli avvisi Microsoft e ConnectWise: cercare soltanto il nome visualizzato dell’app non è sufficiente, perché le identità e gli oggetti del tenant possono differire.

1. Consultare gli advisory aggiornati di Microsoft e ConnectWise e identificare le integrazioni interessate, senza presumere che tutti i prodotti del marchio lo siano.
2. Inventariare le applicazioni enterprise e i service principal presenti o precedentemente autorizzati nel tenant, utilizzando gli application ID riportati nella documentazione ufficiale.
3. Esaminare i registri di accesso dei service principal e gli audit Microsoft Entra, Microsoft 365 e Microsoft Graph. Microsoft consiglia di controllare almeno dal 15 ottobre 2026 e, quando disponibili, estendere le verifiche al 1° ottobre.
4. Cercare cambiamenti inattesi a credenziali applicative, ruoli privilegiati, nuovi proprietari delle app, autorizzazioni, gruppi e criteri di accesso.
5. Coordinare contenimento e ripristino con il team sicurezza e le istruzioni aggiornate del fornitore, evitando interventi che cancellino prove utili.

Una firma sospetta non dimostra automaticamente esfiltrazione di dati; va correlata ai registri e alle operazioni realmente eseguite. La semplice presenza dell’applicazione autorizzata non equivale a una compromissione riuscita.

Che cosa fare subito e che cosa evitare

Microsoft raccomanda di mantenere disabilitate le connessioni delle applicazioni ConnectWise interessate finché il produttore non fornisce indicazioni formali per riattivarle. Prima di modificare o eliminare oggetti del tenant è importante conservare configurazioni e registri disponibili. Non cancellare subito le applicazioni enterprise: la rimozione indiscriminata può distruggere riferimenti necessari alle indagini e complicare i ripristini.

Dove l’analisi conferma attività non autorizzate, gli amministratori devono revocare i privilegi non necessari, ruotare le credenziali coinvolte e controllare che non rimangano credenziali secondarie o nuove assegnazioni di ruolo create dagli attaccanti. È opportuno verificare anche il funzionamento dei backup prima di considerare conclusa la risposta all’incidente.

Perché gli agenti AI cambiano i tempi di reazione

ARTEX è un framework capace di automatizzare diverse fasi di un penetration test. Nel caso esaminato da Microsoft, il gruppo lo avrebbe usato per accelerare ricognizione, tentativi di autenticazione e azioni su identità cloud. Il report documenta alcuni passaggi da primo bersaglio ad accesso privilegiato in meno di tre ore: un motivo per rafforzare monitoraggio e privilegi minimi, non una prova che l’AI possa violare autonomamente qualsiasi account.

Per le aziende che gestiscono servizi Microsoft 365, l’insegnamento pratico è la necessità di sorvegliare anche le identità delle applicazioni, non soltanto gli account delle persone. La campagna con applicazioni OAuth cloud va distinta dalle vulnerabilità dei software di accesso remoto: sono problemi e interventi differenti.

Fonte primaria: Microsoft Security, 21 ottobre 2026. Le istruzioni operative devono essere aggiornate in base agli advisory più recenti e alla situazione documentata nel tenant.