ConnectWise resta fermo dopo l’attacco che Microsoft collega a strumenti di IA

Microsoft attribuisce al gruppo Storm-0940, allineato alla Cina, il compromesso di un’applicazione multi-tenant di ConnectWise e afferma che l’attore ha usato il framework agentico ARTEX per accelerare le operazioni. Il caso conta adesso anche perché il servizio Cloud Backup, ex SkyKick, è ancora in ripristino: ConnectWise prevede di riaprire prima l’accesso ai backup e poi le altre funzioni, se i test di sicurezza si concluderanno come previsto.

La società dice che gli archivi di backup restano cifrati e isolati e che non ci sono indicazioni di compromissione. Microsoft, da parte sua, avverte che un accesso o un’autenticazione non dimostrano da soli che i dati siano stati letti o sottratti.

L’attacco sfrutta autorizzazioni già concesse

Secondo Microsoft, Storm-0940 ha usato ARTEX, uno strumento di test di penetrazione con funzioni agentiche, in campagne contro centinaia di organizzazioni a partire da settembre. In più casi il gruppo avrebbe ottenuto accesso privilegiato agli ambienti cloud in meno di tre ore. Per l’attacco alla catena di fornitura di ConnectWise, l’accesso a Microsoft 365 è passato attraverso credenziali e permessi dell’app già concessi ai clienti, senza richiedere un nuovo accesso interattivo dell’utente.

Microsoft ha osservato in alcuni ambienti attività successive su Microsoft Graph, tra cui ricognizione e tentativi di cambiare credenziali o privilegi. L’azienda specifica che non si è trattato di una vulnerabilità dei suoi prodotti o sistemi. La sua valutazione collega l’attore al compromesso di ConnectWise, ma non consente di affermare che ogni organizzazione raggiunta abbia subito furto di dati.

Il ripristino non ha ancora una data certa

Nell’aggiornamento del 23 ottobre, ConnectWise afferma che sta testando l’ambiente ripristinato e prevede di completare la validazione entro la fine del fine settimana. Se i controlli avranno esito positivo, l’accesso per recuperare i backup dovrebbe tornare all’inizio della settimana successiva; la riattivazione completa per i partner arriverà più avanti, in fasi. Sono date previsionali, non una conferma che il servizio sia già disponibile.

L’azienda chiede ai partner di mantenere disabilitate le connessioni applicative interessate finché non riceveranno istruzioni specifiche. ConnectWise sostiene inoltre che gli archivi esistenti sono cifrati, isolati e preservati, senza segnali di compromissione. Questa affermazione riguarda i backup, non esclude da sola possibili accessi o modifiche in singoli ambienti Microsoft 365 dei clienti.

I clienti italiani devono controllare i propri tenant

Un fornitore di servizi gestiti italiano che utilizza Cloud Backup o SkyKick e collega il servizio a Microsoft 365 deve verificare l’avviso applicabile al proprio account e seguire le indicazioni di ConnectWise. Microsoft raccomanda di esaminare gli accessi del service principal, le modifiche insolite a credenziali e privilegi e i registri di audit, conservando le evidenze. La stessa verifica può coinvolgere i tenant dei clienti gestiti dal partner.

Le fonti consultate non identificano vittime in Italia e non quantificano eventuali dati esfiltrati dal caso ConnectWise. La portata concreta dipende dai permessi concessi e dalle attività avvenute in ciascun tenant. Per ora vanno tenuti separati tre fatti: l’incidente all’applicazione, la valutazione di Microsoft sull’autore e l’assenza di una prova pubblica che i dati dei singoli clienti siano stati sottratti.

Per approfondire

Per il contesto ANPAI: Le vulnerabilità che richiedono verifiche rapide sui sistemi

Le fonti

Microsoft Security Blog, 21 ottobre 2026 · ConnectWise Trust Center, 23 ottobre 2026 · ITPro, 20 ottobre 2026

Questa analisi della redazione ANPAI aiuta a leggere fatti e conseguenze operative. Non sostituisce una valutazione tecnica o legale riferita a un caso specifico.