Una investigación identificó el uso de agentes de inteligencia artificial para automatizar ciberataques contra empresas y organismos públicos. En algunos casos, los atacantes consiguieron acceso privilegiado a sistemas en la nube en menos de tres horas.
La inteligencia artificial también está transformando la manera en que operan los ciberdelincuentes. Microsoft publicó una investigación que documenta cómo un grupo de atacantes utilizó agentes de IA para automatizar operaciones contra cientos de organizaciones en distintos países.
El informe, presentado el miércoles 21 de octubre, identifica al grupo como Storm-0940, un actor que Microsoft vincula con China y que mantiene actividades de ciberespionaje desde 2021.
Según la compañía, los atacantes utilizaron una herramienta llamada ARTEX para acelerar tareas de reconocimiento, búsqueda de accesos y operaciones contra sistemas empresariales.
En algunos casos, lograron obtener acceso privilegiado a infraestructura en la nube en menos de tres horas desde el inicio de sus operaciones.
¿Cómo utilizaron inteligencia artificial para realizar los ataques?
ARTEX es una herramienta de código abierto que utiliza agentes de inteligencia artificial para automatizar distintas etapas de una prueba de seguridad informática.
Este tipo de software puede utilizarse para evaluar vulnerabilidades, pero también puede ser aprovechado por actores maliciosos.
Microsoft identificó que Storm-0940 utilizó ARTEX para examinar sistemas, probar credenciales y aprovechar accesos vinculados con aplicaciones empresariales.
Los agentes permitieron ejecutar distintas tareas con una intervención humana reducida, aumentando considerablemente la velocidad de las operaciones.
La investigación también relaciona estas actividades con un incidente que involucró a ConnectWise, una empresa que ofrece herramientas de administración y respaldo de información.
Tras obtener acceso a credenciales de aplicaciones conectadas, los atacantes intentaron ingresar a entornos de clientes que utilizaban Microsoft 365.
Miles de intentos de acceso en pocos minutos
Uno de los antecedentes más llamativos del informe es la velocidad de los ataques.
Microsoft documentó que, después del incidente relacionado con ConnectWise, los responsables intentaron autenticarse en más de 2.250 entornos de clientes, alcanzando una velocidad de 2.900 intentos por minuto.
Entre el 10 y el 14 de octubre, también se identificó una campaña automatizada dirigida a 327 cuentas de ocho organizaciones, con más de 151.000 intentos fallidos de inicio de sesión.
En esa campaña específica, Microsoft no observó accesos exitosos. Sin embargo, en otros entornos investigados sí identificó actividades posteriores a la autenticación, incluyendo modificaciones de credenciales y cambios relacionados con privilegios administrativos.
La compañía advirtió que la presencia de una aplicación comprometida o de un inicio de sesión sospechoso no demuestra necesariamente que se haya producido un robo de información.
¿Microsoft 365 fue vulnerado?
Microsoft aclaró que los ataques no fueron consecuencia de una vulnerabilidad en sus propios productos o servicios.
Los responsables aprovecharon principalmente credenciales y permisos asociados a aplicaciones de terceros que ya contaban con autorización para conectarse a determinados entornos empresariales.
Esto permitió intentar operaciones sin necesidad de que una persona iniciara sesión directamente.
El caso demuestra un riesgo importante para las organizaciones: una aplicación externa con permisos elevados puede convertirse en una vía de acceso si sus credenciales son comprometidas.
¿Qué pueden hacer las empresas para protegerse?
Microsoft recomendó revisar las aplicaciones conectadas a sus entornos empresariales y prestar atención a modificaciones inesperadas de credenciales, permisos y privilegios.
Para las organizaciones que utilizan las integraciones de ConnectWise afectadas, la compañía aconsejó mantener deshabilitadas las conexiones comprometidas hasta recibir instrucciones formales de restauración.
También recomendó preservar los registros de actividad y revisar los accesos realizados mediante aplicaciones autorizadas.
En el caso de empresas que utilizan Microsoft 365, estas medidas deben ser evaluadas por sus equipos responsables de seguridad informática.
La investigación no identifica públicamente a organizaciones chilenas afectadas, por lo que no es posible establecer un impacto específico en el país.
Más allá de este incidente, el informe evidencia uno de los desafíos que enfrenta actualmente la ciberseguridad: los atacantes pueden utilizar inteligencia artificial para aumentar la velocidad y escala de operaciones que antes requerían mucho más tiempo.
Esto obliga a las organizaciones a desarrollar mecanismos de detección y respuesta capaces de actuar con una rapidez similar.
