Brecha en ConnectWise: espionaje chino contra miles de empresas con ayuda de agentes de inteligencia artificial

El panorama de la ciberseguridad vive un nuevo capítulo de incidentes dirigidos contra el «eslabón intermedio» de la cadena de suministro tecnológica, es decir, las empresas que administran los sistemas de otras. Las investigaciones realizadas por especialistas de Microsoft revelaron que un grupo de piratería vinculado al Estado chino logró infiltrarse en el servicio de copias de seguridad en la nube de ConnectWise, uno de los mayores proveedores de soluciones de gestión remota y administración de tecnologías de la información, y utilizó ese acceso para espiar a miles de empresas clientes.

¿Cómo se produjo la intrusión?

El núcleo del problema no fue una vulnerabilidad en los sistemas de las empresas afectadas, sino en las credenciales almacenadas por el proveedor. El servicio de copias de seguridad necesita permisos de conexión con el entorno del cliente para poder extraer y archivar los datos. Según la información disponible, los atacantes se apoderaron de las credenciales de las aplicaciones que se utilizan para establecer esos enlaces entre ConnectWise y sus clientes corporativos.

Con esas llaves en su poder, los atacantes pudieron iniciar sesión en los entornos de los clientes alojados en los servicios de Microsoft como si fueran usuarios autorizados, y acceder a correos electrónicos, archivos y documentos internos. Este tipo de acceso resulta difícil de detectar, ya que en los registros el tráfico de inicio de sesión aparece como actividad legítima procedente de una aplicación de confianza.

Una velocidad de ataque que supera la capacidad de defensa humana

El aspecto más destacado de este incidente no es la intrusión en sí, sino su ritmo. Microsoft señaló que los atacantes recurrieron a agentes de inteligencia artificial para ejecutar la operación a gran escala: tuvieron como objetivo cerca de 2.250 organizaciones, con una tasa aproximada de 3.000 intentos de inicio de sesión por minuto.

En la práctica, estas cifras significan que los equipos de seguridad no dispusieron de tiempo suficiente para detectar y responder. La metodología tradicional de respuesta a incidentes presupone que existe un intervalo temporal entre el inicio de la actividad sospechosa y su expansión; en este caso, la intrusión masiva había concluido antes de que los sistemas de monitorización emitieran sus alertas y estas fueran revisadas por analistas humanos.

Herramientas de código abierto al servicio del ataque

Esta velocidad se atribuyó al uso de un marco de inteligencia artificial de código abierto conocido como ARTEX, diseñado originalmente para poner a prueba la solidez de las defensas cibernéticas sometiéndolas a presión automatizada. Cabe señalar que esta misma herramienta apareció en un incidente anterior dirigido contra sistemas financieros de Corea del Sur, muchos de los cuales presentaban deficiencias en su configuración de seguridad y carecían de autenticación multifactor.

Esto vuelve a plantear el problema del doble uso en las herramientas de seguridad: la misma herramienta que ayuda a los equipos defensivos a descubrir sus puntos débiles puede orientarse al ataque si cae en manos de un actor malicioso y recibe recursos de cómputo suficientes.

La postura de la empresa y las medidas adoptadas

ConnectWise anunció que suspendió temporalmente el acceso a su sistema de copias de seguridad en la nube, que está llevando a cabo una investigación del incidente y que trabaja en restablecer el servicio de forma gradual. Esta decisión, pese a su coste operativo para los clientes, constituye un paso lógico para cortar el canal de acceso antes de evaluar la magnitud del daño.

¿Qué deberían hacer las organizaciones?

La lección más importante es que la confianza de una organización en su proveedor no sustituye a la supervisión. A continuación, algunas medidas prácticas que conviene revisar de inmediato:

• Inventariar todas las aplicaciones externas que tengan permisos sobre el entorno de correo y archivos, y revocar aquellas que ya no sean realmente necesarias.
• Reducir los permisos al mínimo imprescindible, ya que un servicio de copias de seguridad no siempre necesita permisos de lectura integral.
• Rotar periódicamente los secretos de las aplicaciones y las claves de conexión, así como después de cualquier incidente que afecte a uno de los proveedores de servicios.
• Activar la autenticación multifactor en todas las cuentas sin excepción y vigilar las excepciones concedidas a las aplicaciones.
• Configurar alertas automáticas ante patrones anómalos, como intentos de inicio de sesión acelerados o accesos desde regiones geográficas nuevas.
• Apoyarse en una respuesta parcialmente automatizada, pues hacer frente a un ataque que avanza a velocidad de máquina requiere una defensa igual de rápida.

Conclusión

Este incidente confirma que la cadena de suministro de software se ha convertido en el objetivo más atractivo para los atacantes, porque vulnerar a un solo proveedor abre las puertas de miles de clientes. Y con la entrada de los agentes de inteligencia artificial en la fase de ejecución, el parámetro temporal de la ciberseguridad ha cambiado: ya no se trata de días u horas, sino de minutos. Las organizaciones deben construir sus programas de seguridad sobre el supuesto de que el proveedor puede ser comprometido, y diseñar los límites y los permisos de modo que se reduzca el impacto cuando eso ocurra.

✦ بقلم فريق دروب أيديا