Panorama: Hackers ligados à China usam IA em ataque global via ConnectWise, diz Microsoft

Hackers ligados à China usam IA em ataque global via Connect Wise, diz Microsoft Credenciais de aplicativos foram usadas contra mais de 2.250 ambientes corporativos ConnectWise: credenciais de aplicativos foram usadas em tentativas de acesso a ambientes corporativos (Freepik)

André Lopes Editor de Inteligência Artificial e Tecnologia

Publicado em 22 de outubro de 2026 às 10h48 .

Última atualização em 22 de outubro de 2026 às 10h53 .

Priorizar nos meus resultados Google RESUMO ＋ A Microsoft atribuiu ao Storm-0940, grupo que considera alinhado ao Estado chinês, um ataque com IA contra a ConnectWise. Credenciais de aplicativos foram usadas em tentativas de entrada em mais de 2.250 ambientes corporativos, número que não equivale a vítimas confirmadas. A Huntress identificou autenticações bem-sucedidas em mais de 300 ambientes de sua amostra e alterações para manter acesso em dois casos examinados. A ConnectWise mantém a recuperação gradual dos serviços e orienta clientes a revisar seus ambientes.

A Microsoft atribuiu nesta quarta-feira, 21, ao grupo Storm-0940, que considera alinhado ao Estado chinês, o ataque à ConnectWise revelado neste mês. Segundo a empresa, os invasores usaram inteligência artificial para acelerar uma campanha contra centenas de organizações. O caso envolve credenciais de aplicativos empresariais: acessos concedidos a um fornecedor passaram a ser usados por terceiros contra seus clientes.

Segundo a Microsoft, houve tentativas de entrada em mais de 2.250 ambientes corporativos , chamados de tenants . Nesse tipo de ataque, o número não representa 2.250 empresas invadidas: tentativas, autenticações bem-sucedidas e acesso efetivo a dados são situações diferentes.

A ConnectWise reconheceu o comprometimento de credenciais associadas ao Cloud Backup , anteriormente chamado SkyKick. Na atualização desta quinta-feira, 22, às 10h, no horário de Brasília, informou que a restauração continuava em etapas, com validações de segurança. A origem da exposição das credenciais permanece sob investigação.

A atribuição não equivale a uma confirmação independente de comando pelo governo chinês. À Reuters, a embaixada da China em Washington afirmou que o país combate ataques cibernéticos e rejeitou acusações que classificou como ataques à sua imagem.

O Cloud Backup utiliza uma aplicação autorizada pelo cliente a acessar dados no Microsoft 365. Pesquisadores da Sophos identificaram, em 15 de outubro, uma varredura automatizada que solicitava tokens — autorizações digitais de acesso — usando a identidade desse aplicativo.

Esse mecanismo não exigia a senha de um funcionário nem uma solicitação de autenticação multifator: a conexão acontecia em nome do software autorizado. A Sophos também encontrou tentativas envolvendo ambientes sem assinatura ativa de backup, mas que ainda mantinham a autorização anterior. Isso amplia a necessidade de verificação para além dos clientes que usam o serviço atualmente.

Segundo a Microsoft, a ferramenta ARTEX ajudou a automatizar atividades ofensivas. O uso de IA para ampliar ataques já apareceu em outras investigações, mas não identifica, por si só, quem está por trás de uma operação.

A Huntress relatou autenticações bem-sucedidas em mais de 300 ambientes de sua amostra. Em dois ambientes examinados, observou uma sequência mais grave: o aplicativo obteve privilégios de administrador global e adicionou credenciais a outros aplicativos, criando caminhos para manter o acesso.

Nesses dois casos, a empresa não encontrou evidências de manipulação de arquivos ou caixas de e-mail. A ressalva é importante: registros disponíveis não mostram necessariamente toda leitura de dados. A resposta a uma invasão, neste caso, exige investigar também as identidades dos aplicativos, não apenas as contas de funcionários.

A ConnectWise orienta manter as conexões afetadas desativadas até receber instruções específicas de restauração. Segundo a companhia, os arquivos de backup existentes continuam criptografados, isolados e preservados, sem indicação de comprometimento. Essa avaliação não substitui a análise individual dos ambientes Microsoft 365.

Em outro episódio, de 2025, a EXAME mostrou como invasores mantiveram acessos após correções no SharePoint. São incidentes distintos, mas ambos mostram por que conter a porta de entrada e procurar acessos remanescentes são etapas diferentes.

A Microsoft atribui o ataque ao Storm-0940, grupo que considera alinhado ao Estado chinês. A embaixada chinesa rejeitou as acusações em manifestação à Reuters.

Segundo a Microsoft, a ferramenta ARTEX acelerou atividades ofensivas. O uso de IA, isoladamente, não identifica a autoria de um ataque.

Não é isso que o número informa. A contagem corresponde a ambientes corporativos visados por tentativas, não a empresas com roubo de dados confirmado.

A Sophos descreve conexões feitas pela identidade de um aplicativo autorizado. Esse fluxo não exigia um login interativo de funcionário nem uma solicitação de autenticação multifator.

A empresa afirma não ter indicação de comprometimento dos arquivos de backup preservados. Isso não dispensa investigar a atividade nos ambientes Microsoft 365 dos clientes.

Não necessariamente. Credenciais adicionadas a outros aplicativos podem manter caminhos de acesso e precisam de investigação própria, segundo a Huntress.

Correção depende dos servidores e da hospedagem; descoberta com IA não comprova ataques automatizados nem vazamento de dados

Serviços públicos e provedores de hospedagem dos países baixos interromperam acessos para aplicar correções; Cloudflare relata tentativas de ataque

Levantamento da Salesforce mostra que agentes de IA poderão resolver de forma autônoma 50% dos atendimentos ao cliente

Anatel homologou terminal da SpaceSail; entenda a definição de mensalidades e data exata