Los padres de un joven libanés de 15 años que se suicidó han presentado una demanda contra OpenAI y su director ejecutivo, Sam Altman, alegando que las interacciones con ChatGPT contribuyeron a la muerte de su hijo.

Charbel Habib y Soha Samaha presentaron la demanda por homicidio culposo ante el Tribunal Superior de California, Condado de San Francisco, tras el fallecimiento de su hijo, Mathias Habib, el 22 de abril de 2026. La familia está representada por el Social Media Victims Law Center y Tech Justice Law.

Según la familia, Mathias era un adolescente feliz y sano, sin antecedentes de problemas de salud mental. Un estudiante sobresaliente, disfrutaba de las carreras de karts, tocar la guitarra, pintar, la fotografía y el cine, así como del senderismo y la acampada en la montaña.

Durante casi tres años, su uso de ChatGPT se limitó, al parecer, a conversaciones ocasionales sobre tareas escolares, cámaras, rutas de senderismo y coches clásicos, sin un patrón de uso excesivo.

Sin embargo, la familia alega que sus interacciones con el chatbot tomaron un giro preocupante en enero de 2026, cuando comenzó a explorar el estoicismo tras decidir leer las Meditaciones del filósofo romano Marco Aurelio.

Su primera pregunta a ChatGPT fue si el estoicismo era una secta, ya que quería asegurarse de no involucrarse en algo perjudicial.

Según el relato de la familia, durante los tres meses siguientes, ChatGPT desvió a Mathias de los escritos de Marco Aurelio hacia la filosofía de Friedrich Nietzsche, el nihilismo y el existencialismo.

La familia alega que el chatbot reforzó ideas preocupantes sobre la vida y la muerte, incluyendo la presentación del suicidio de una manera que consideraban dañina, a pesar de saber que Mathias solo tenía 15 años.

El 30 de marzo, aproximadamente a las 2:10 a. m., Mathias preguntó directamente a ChatGPT sobre cómo quitarse la vida, según el relato de la familia. Sus padres alegan que la plataforma no les notificó ni alertó a las autoridades.

Mathias falleció 23 días después. La familia alega además que, la noche de su muerte, ChatGPT le ayudó a programar una publicación en Instagram para su difusión posterior.

Según la familia, la investigación policial no encontró antecedentes de enfermedad mental, conflictos familiares ni inestabilidad. La familia afirma que los investigadores identificaron la exposición prolongada a conversaciones filosóficas personalizadas generadas por inteligencia artificial como un factor que contribuyó a su muerte.

La demanda acusa a OpenAI de no haber intervenido a pesar de tener la capacidad técnica para detectar conversaciones peligrosas o restringir el acceso de los usuarios.

En un comunicado, el padre de Mathias, Charbel Habib, recordó los intereses de su hijo y cuestionó por qué se permite que las plataformas de inteligencia artificial interactúen con niños en conversaciones potencialmente dañinas.

"La IA es beneficiosa para la humanidad. Ayudará a curar el cáncer y a aumentar la productividad humana, entonces, ¿qué sentido tiene que interactúe con niños? Como OpenAI puede hablar con niños, yo ya no puedo hablar con el mío", declaró.

Su madre, Soha Habib, también criticó la supuesta negligencia de la plataforma al no alertar a la familia después de que su hijo expresara pensamientos suicidas. «Yo estaba durmiendo en la misma casa, pero nadie se despertó. ChatGPT tuvo veintitrés días para avisar a la madre, pero nunca lo hizo», declaró.

La familia busca una indemnización y mayores medidas de protección para los menores, incluyendo restricciones al acceso de los niños a ChatGPT hasta que su seguridad haya sido verificada de forma independiente.

También han creado la Fundación Mathias Habib en memoria de su hijo, con el objetivo de proteger a los niños de posibles daños relacionados con la IA mediante la concienciación, la investigación y las medidas preventivas.

Este caso forma parte de las tres demandas anunciadas por Tech Justice Law el 15 de octubre. Las otras dos, presentadas en nombre de Mariah Hill y Garrett Works, alegan que las interacciones prolongadas con ChatGPT causaron graves daños psicológicos.

Los equipos legales acusan a OpenAI de negligencia y diseño defectuoso del producto, argumentando que las funciones del chatbot pueden fomentar la dependencia emocional y exponer a usuarios vulnerables a riesgos.

[14 de octubre de 2026, OpenAI JCCP - Queja de Habib.pdf](https://www.lbcgroup.tv/uploadImages/ExtImages/Images2/2026.10.14 OpenAI JCCP - Habib Complaint.pdf) [Comunicado de prensa sobre casos agrupados frente a OpenAI.pdf](https://www.lbcgroup.tv/uploadImages/ExtImages/Images2/Bundled Cases vs Open AI Press Release .pdf)

No solo hay 10 horas de diferencia entre los dos vídeos. El primero, del PSOE, se publicó en la cuenta oficial de Pedro Sánchez a las 8.29 de la mañana de este miércoles, justo antes de la ponencia de Javier Milei en el Casino de Madrid. Y el segundo, del PP, pasadas las diez de la noche. Pero uno es real: grabado con cámaras, micrófonos y editado por un equipo de comunicadores audiovisuales. Y el otro, no: está gen

Un conductor de Tesla de San Francisco presuntamente atropelló y mató a un peatón en el condado de Solano la madrugada del jueves mientras su vehículo estaba en modo de conducción autónoma, según informaron las autoridades.

El accidente ocurrió poco después de las 2:30 a. m. en la Interestatal 80 en dirección oeste, a la altura del cruce con la Interestatal 780, informó la Patrulla de Carreteras de California en una publicación de Facebook (https://www.facebook.com/CHPSolano/posts/pfbid0wybHNb4wHoWbxx6XCYimz7FGoE26xXTbjDrRtyAiUZw79NFe7t7PcE6t4uzgqELkl). La cámara del tablero del Tesla, que captó el accidente, muestra al peatón caminando hacia la autopista desde el arcén derecho mientras el auto circulaba a 112 km/h (70 mph), indicó la Patrulla de Carreteras de California. Según la Patrulla de Carreteras de California (CHP), el peatón, un hombre de 71 años de Vallejo, se interpuso directamente en la trayectoria del Tesla mientras cruzaba la autopista hacia la mediana. Aunque las imágenes de la cámara del tablero revisadas por los agentes mostraron que el Tesla frenó al girar a la izquierda, el lado derecho del vehículo impactó al peatón, informó la CHP.

Tras el accidente del Tesla, el peatón yacía en la calzada y fue atropellado por otro conductor, indicó la CHP. El conductor del segundo vehículo no se detuvo y aún no ha sido identificado por las autoridades. El peatón sufrió heridas mortales, y el conductor del Tesla, un hombre de 26 años de San Francisco, permaneció en el lugar del accidente, informó la CHP.

Se insta a cualquier persona que tenga información sobre el accidente del Tesla o el segundo vehículo involucrado a llamar a la oficina de la CHP en Solano al 707-639-5600.

Scott Heitman, portavoz de la Patrulla de Carreteras de California (CHP, por sus siglas en inglés), declaró al San Francisco Chronicle que el conductor del Tesla no recibió ninguna multa tras el accidente. Sin embargo, podría enfrentar cargos si la investigación determina que actuó con negligencia, según informó el Chronicle. (Tanto el Chronicle como SFGATE pertenecen a Hearst, pero tienen redacciones independientes).

El accidente se produce una semana después de que otro conductor de Tesla en California sufriera una colisión mientras su vehículo estaba en modo de conducción autónoma. El 13 de octubre, un hombre de 22 años de Sacramento supuestamente se quedó dormido al volante y chocó contra un vehículo de la CHP, hiriendo a dos agentes.

380.000 euros en daños a unas 170 víctimas. Estas fueron las cifras con las que se topó el Equipo de Delitos Cibernéticos de Róterdam durante las tres semanas que tuvo acceso a los servidores de una red criminal. Estos delincuentes se dedicaban a una nueva forma de fraude bancario a través de sus servicios de atención al cliente, en la que las víctimas debían escanear su tarjeta bancaria con su teléfono móvil, lo que permitía el vaciado inmediato de sus cuentas bancarias de forma remota. Esta investigación, liderada por la Fiscalía, condujo rápidamente a la detención de dos sospechosos el 6 de octubre de 2026.

«Todo comenzó a mediados de septiembre, cuando los bancos neerlandeses indicaron al Grupo de Trabajo contra los Delitos Electrónicos (ECTF) que estaban siendo víctimas de una nueva forma de fraude bancario a través de sus servicios de atención al cliente», explica Ruben van Well, del Equipo de Delitos Cibernéticos de Róterdam.

--

*Nueva forma de fraude bancario a través de los servicios de atención al cliente

Las víctimas recibían llamadas telefónicas con un audio grabado. Los estafadores habían creado decenas de clips de audio diferentes utilizando inteligencia artificial, con diversas voces, bancos, empresas y escenarios. Por ejemplo, una voz alertaba a las víctimas sobre actividad sospechosa en su cuenta bancaria y les pedía que pulsaran el '1' si no eran responsables de dicha actividad. A continuación, las víctimas oían música de espera antes de ser atendidas por un supuesto empleado del banco.*

Posteriormente, las víctimas eran presionadas y manipuladas mediante un guion preestablecido. "Debían actuar con rapidez bloqueando la tarjeta bancaria". Para ello, debían descargar una aplicación y escanear su tarjeta bancaria acercándola al teléfono.

Esto permitía a los delincuentes, a través de la aplicación recién instalada, transmitir temporalmente datos del chip NFC de la tarjeta a una aplicación utilizada por el titular: el chip para pagos sin contacto. Un titular de la tarjeta con la misma aplicación esperaba simultáneamente en un cajero automático. Sin que las víctimas se dieran cuenta, se retiraron miles de euros. ---

"Ya no hay estafadores llamando a la puerta, sino una persona que llama con gran convicción y que aparenta ser increíblemente profesional. No habíamos visto este método técnico antes. Estamos orgullosos de la cooperación que mantenemos con los bancos de los Países Bajos, con quienes compartimos la responsabilidad de detener a los delincuentes y proteger a los ciudadanos", declaró Ruben.

La investigación

A los pocos días de la reunión con el ECTF, el equipo de ciberdelincuencia obtuvo información sobre la infraestructura digital de la organización criminal. Un técnico y un coordinador eran responsables de la tecnología y de la distribución de las llamadas fraudulentas. También dirigían los lectores de tarjetas, que estaban listos para activarse en el momento en que una víctima escaneaba su tarjeta bancaria con la aplicación. En el breve periodo que duró la investigación, la policía constató que 170 víctimas se vieron afectadas, con pérdidas que ascendieron a unos 380.000 euros. Las víctimas eran de todas las edades y procedían de todos los rincones de los Países Bajos. Decenas de personas de entre 20 y 30 años también fueron víctimas.

En el breve periodo que lleva en marcha la investigación, logramos exponer la infraestructura de los estafadores y comprender la estructura principal del fraude. Las decisiones tácticas tomadas nos permitieron detener a estos delincuentes y su sistema. Arrestar a los titulares de tarjetas suele tener poco efecto a largo plazo si se quiere prevenir nuevas víctimas. Los titulares de tarjetas son fácilmente intercambiables. Solo atacando a alguien en una posición clave se puede abordar eficazmente un fraude de este tipo y prevenir más víctimas.

Dos arrestos importantes

El 6 de octubre, la policía arrestó a dos sospechosos en relación con esta investigación. Se trata de dos hombres (uno de 23 años de Vaassen y otro de 25 años de Ede). Se sospecha que el hombre de 23 años era el experto técnico detrás del fraude y que dirigía a los demás. Se sospecha que el otro desempeñaba un papel de coordinador dentro del grupo.

La policía ha desconectado los servidores utilizados para facilitar este fraude. Se están analizando los datos de dichos servidores. También se han incautado los teléfonos y ordenadores portátiles de los sospechosos para su investigación. El martes 20 de octubre, el tribunal de Róterdam decidió que permanecerán bajo custodia durante al menos 90 días más, a la espera de la vista judicial.

"Estamos haciendo pública esta investigación con la esperanza de que la gente conozca esta nueva forma de fraude", comienza Ruben. "Lo hacemos por una razón. Les decimos a todos en los Países Bajos: Su banco nunca les pedirá que descarguen una aplicación, que acerquen su tarjeta bancaria al teléfono ni que proporcionen su PIN. Manténganse alerta y cuelguen si la conversación les parece sospechosa. Y les decimos a los estafadores: No están seguros detrás de su ordenador. Todo lo que hacen en línea deja rastro. En menos de cuatro semanas, pasamos de la detección del nuevo método de fraude al momento de la detención". Interrupción sostenible

“Este caso demuestra la importancia de la cooperación a lo largo de toda la cadena. Dentro del Grupo de Trabajo contra los Delitos Electrónicos (ECTF), los bancos, la policía y la Fiscalía combinan rápidamente información, conocimientos especializados y recursos. Gracias a ello, esta nueva forma de fraude pudo detectarse precozmente y los delincuentes responsables pudieron ser detenidos con rapidez. Solo trabajando juntos de esta manera podemos prevenir víctimas e interrumpir de forma sostenible las redes delictivas”, afirma Marco Doeland, Jefe del Equipo de Seguridad de la Asociación Bancaria Holandesa.

Consejos para reconocer y prevenir estafas

• Dos elementos se repiten siempre:

• Confianza: La confianza se puede generar eligiendo a un remitente conocido, pero también compartiendo los datos personales de la víctima. «Soy real… mira todo lo que sé sobre ti».

• Presión: La presión busca provocar una respuesta de estrés. Cuando estás estresado, piensas con menos racionalidad y eres más vulnerable a las estafas porque actúas por instinto.

• Verifica al remitente: Comprueba el número de teléfono. - No haga clic indiscriminadamente: No haga clic en enlaces desconocidos ni descargue aplicaciones a través de enlaces en SMS o WhatsApp.

• No comparta datos: Los bancos y el gobierno nunca solicitan datos de inicio de sesión, contraseñas ni códigos PIN por teléfono ni SMS.

• Póngase en contacto: ¿Tiene dudas sobre la autenticidad de un mensaje o llamada? Contacte directamente con la organización utilizando el número de teléfono oficial que encontrará en su sitio web.

¿Ha sido víctima? ¡Denuncie!

• Contacte con su banco inmediatamente. Pídales que verifiquen si se ha realizado algún cargo en su cuenta. Si es necesario, solicite el bloqueo de su cuenta o la suspensión de las transacciones.

• Presente una denuncia. Guarde todos los mensajes recibidos y preséntelos a la policía.

Ya en septiembre de 2026, Storm-0940, un grupo de ciberdelincuentes vinculado al Estado chino, utilizó ARTEX, un marco de pruebas de penetración basado en IA, para automatizar ataques dirigidos a cientos de organizaciones a nivel mundial en una amplia gama de sectores. Varios de estos ataques de Storm-0940, impulsados por ARTEX, lograron que el grupo obtuviera acceso privilegiado a la infraestructura en la nube de las organizaciones, incluyendo múltiples casos en los que el tiempo transcurrido desde el ataque inicial hasta el acceso privilegiado fue inferior a 3 horas. Microsoft estima que Storm-0940 fue responsable de la reciente filtración de datos en la cadena de suministro de ConnectWise, una aplicación multiusuario.

Esta actividad demuestra cómo los ciberdelincuentes están integrando la IA en sus flujos de trabajo de seguridad ofensiva existentes, lo que les permite escalar sus operaciones exponencialmente. Los agentes no están limitados por factores que afectan a los humanos: pueden trabajar las 24 horas del día, los fines de semana y los días festivos, e intentar múltiples vías de acceso simultáneamente, lo que reduce significativamente el tiempo desde la selección de un objetivo hasta el logro de los objetivos, aumentando la velocidad y el impacto de ataques complejos como las vulneraciones de la cadena de suministro.

El uso de ARTEX por parte de Storm-0940 aceleró el abuso de aplicaciones comprometidas para autenticarse en entornos de clientes de Microsoft 365 a través de aplicaciones que ya contaban con acceso. Esto permitió al atacante operar sin necesidad de que el usuario iniciara sesión. En varios entornos afectados, Microsoft observó actividad posterior acelerada por IA a través de Microsoft Graph, incluyendo reconocimiento, cambios en las credenciales de las aplicaciones e intentos de modificar privilegios que podrían permitir un acceso ampliado o persistente. La actividad realizada por el atacante mediante el marco ARTEX no se debió a una vulneración o vulnerabilidad en los sistemas, productos o servicios corporativos de Microsoft.

Aunque Microsoft identificó la autenticación iniciada por Storm-0940 y la actividad posterior en múltiples entornos de clientes, la presencia de una aplicación afectada o la autenticación exitosa del actor de amenazas no indica necesariamente que se haya accedido a los datos del cliente o que estos hayan sido exfiltrados. Microsoft Defender XDR proporciona detecciones y consultas de búsqueda para detectar actividad sospechosa en Microsoft Graph y actividad asociada con infraestructura de amenazas conocida. Los clientes deben revisar los inicios de sesión de las entidades de servicio, investigar cambios inesperados en las credenciales o privilegios de las aplicaciones y seguir las directrices de contención publicadas por ConnectWise, conservando la evidencia relevante para la investigación. Para obtener una lista completa de las detecciones, consulte la sección de detecciones.

¿Qué está sucediendo?

Storm-0940 es un actor vinculado al Estado chino (sin alias conocidos en la industria) que ha estado activo desde 2021 y ataca a organizaciones de múltiples sectores para robar datos. Históricamente, el actor ha obtenido acceso inicial mediante ataques de fuerza bruta contra contraseñas y la explotación de aplicaciones con acceso a internet, antes de usar cuentas comprometidas para moverse por los entornos objetivo. En entornos de nube, el atacante también ha logrado persistencia al agregar credenciales a aplicaciones OAuth existentes, lo que le permite acceder continuamente a los recursos de Microsoft 365. Ha utilizado estas aplicaciones para acceder y extraer correos electrónicos y otros datos a través de Microsoft Graph.

Ya en septiembre de 2026, Storm-0940 utilizó ARTEX, un marco de pruebas de penetración con IA para automatizar ataques dirigidos a cientos de organizaciones a nivel mundial en una amplia gama de sectores. Estos incluyen el aeroespacial y de defensa, automotriz, químico, energético, servicios financieros, gubernamental, legal, manufacturero, medios de comunicación, militar, semiconductores, software, tecnología, centros de investigación y organizaciones sin fines de lucro. Durante la vulneración de la cadena de suministro de ConnectWise, Storm-0940 utilizó ARTEX para acelerar el escaneo y el reconocimiento, el ataque de fuerza bruta contra contraseñas y el abuso de aplicaciones OAuth contra víctimas posteriores.

Varios de estos ataques de Storm-0940 impulsados por ARTEX han resultado en que el atacante obtuviera acceso privilegiado a la infraestructura en la nube de una organización, incluyendo múltiples casos en los que el tiempo transcurrido desde el objetivo inicial hasta el acceso privilegiado fue inferior a 3 horas. Cuando se automatizan con IA, estas actividades generan un gran volumen de tráfico y datos de registro que pueden generar alertas. Sin embargo, la velocidad de la actividad deja muy poco tiempo para que los defensores respondan a esas alertas y restrinjan el acceso del atacante de forma coordinada. La actividad de Storm-0940 ilustra cómo un atacante con un amplio conjunto de objetivos puede usar una herramienta de IA y material de autenticación privilegiada para intentar rápidamente comprometer a numerosas organizaciones. Si bien la mayoría de los ataques no tuvieron éxito, Storm-0940 logró obtener persistencia privilegiada en la nube de muchas organizaciones en poco tiempo.

¿Qué es ARTEX?

ARTEX es un marco de pruebas de penetración de código abierto que puede usar cualquier modelo de IA para automatizar diversos flujos de trabajo de seguridad ofensiva. El marco ARTEX es un sistema LLM multiagente escrito en Go con una interfaz Next.js. Si bien la interfaz de usuario y la salida generada están en inglés por defecto, el marco se puede configurar en coreano, mandarín, español o japonés. ARTEX es un sistema de agentes basados en LLM que ejecutan una prueba de penetración autónoma, desde el reconocimiento hasta la extracción de datos, con mínima intervención humana. Durante la prueba, los agentes recopilan los activos y vulnerabilidades detectados en un gráfico. En octubre de 2026, se informó públicamente que el marco ARTEX estaba siendo utilizado por ciberdelincuentes, como en el caso de las filtraciones de datos personales dirigidas a instituciones financieras coreanas. Microsoft Threat Intelligence identificó ciberdelincuentes en diversas regiones geográficas que utilizaban el marco ARTEX. ConnectWise publicó un aviso inicial el 16 de octubre de 2026 y, posteriormente, amplió sus divulgaciones y directrices de contención. El aviso detalla la investigación de ConnectWise sobre el intento de acceso no autorizado relacionado con Cloud Backup. Tras el acceso no autorizado, Storm-0940 utilizó ARTEX para intentar iniciar sesión en más de 2250 inquilinos. Si bien el abuso de aplicaciones OAuth es una práctica habitual de Storm-0940, en este caso el atacante utilizó ARTEX para acelerar la actividad a la máxima velocidad.

Figura 1. Escala y velocidad de un subconjunto de la campaña automatizada ARTEX de Storm-0940 en inquilinos, incluyendo el alcance y la rapidez de los inicios de sesión.

Ataque de fuerza bruta contra contraseñas

Entre el 10 y el 14 de octubre de 2026, la infraestructura de Storm-0940 en 144.172.64[.]99 llevó a cabo una campaña automatizada de ataque de fuerza bruta contra contraseñas entre inquilinos, dirigida a 327 cuentas en ocho organizaciones, con el objetivo de obtener acceso a Microsoft 365 y Exchange Online. Durante esta gran campaña, la telemetría de Microsoft registró más de 151 000 intentos de inicio de sesión fallidos, con un pico de actividad el 11 de octubre de 2900 fallos por minuto y una concentración de más de 111 000 fallos en un solo día. La campaña combinó ataques masivos de baja frecuencia contra cuentas con intentos de autenticación sostenidos y de alto volumen contra identidades seleccionadas; 48 cuentas sufrieron más de 1000 fallos, y las respuestas de bloqueo representaron casi el 98 % de toda la actividad. A pesar de la magnitud, no se observó ninguna autenticación exitosa, emisión de tokens, llamada a Graph ni cambio de directorio.

Acceso de clientes posteriores

El 15 de octubre, inmediatamente después de esta actividad destacada, comenzaron a aparecer informes públicos sobre la vulneración de la popular aplicación de copia de seguridad en la nube ConnectWise, con referencias directas a indicadores de vulneración que coincidían con el mismo rango de red observado para la anterior campaña de ataques de fuerza bruta contra contraseñas (144.172.64.x). Un aviso publicado el 16 de octubre por el proveedor de copias de seguridad en la nube afectado reveló posteriormente indicadores adicionales, incluyendo una dirección IP que coincidía exactamente con la infraestructura 144.172.64[.]99 responsable de la campaña de ataque de fuerza bruta contra contraseñas.

Además, tras obtener el control de las identidades de varias aplicaciones en la nube de ConnectWise, los agentes de IA que operaban en nombre del atacante continuaron utilizando el mismo rango de IP para autenticarse en los entornos de los clientes mediante el acceso ilícito obtenido a través de las credenciales de estas aplicaciones robadas, aprovechándose así de la confianza ya establecida por estas aplicaciones dentro de un inquilino. En algunos de estos entornos, los agentes de IA (en nombre del atacante) fueron más allá de la autenticación, realizando operaciones en Microsoft Graph y el directorio, incluyendo reconocimiento, modificaciones de credenciales de aplicaciones para establecer persistencia y cambios que afectaban a identidades, grupos y roles con privilegios. Microsoft identificó varios entornos de clientes con evidencia de actividad posterior, lo que demuestra cómo una aplicación de terceros comprometida con altos privilegios podía proporcionar acceso más allá de su propósito original. La modificación de las credenciales de la aplicación realizada por los agentes asociados a Storm-0940 en los entornos de las víctimas puede provocar persistencia a través de otras identidades, credenciales y servicios en la nube. Estos cambios pueden permanecer activos como puerta trasera incluso después de que se haya mitigado la vulnerabilidad en la aplicación original comprometida. Las organizaciones deben examinar los inicios de sesión de las entidades de servicio junto con la actividad posterior de Microsoft Graph, los cambios en el directorio y el acceso a los recursos, correlacionando los eventos sospechosos con la actividad administrativa autorizada. La presencia de una aplicación afectada, o incluso una autenticación exitosa, no indica necesariamente acceso no autorizado a los datos ni filtración de datos.

Guía de mitigación y protección

Microsoft recomienda las siguientes medidas de mitigación para reducir el impacto de esta amenaza. Consulte la tarjeta de recomendaciones para conocer el estado de implementación de las medidas de mitigación supervisadas.

Acciones inmediatas

• Mantenga deshabilitadas las conexiones de las aplicaciones de ConnectWise afectadas hasta que ConnectWise proporcione instrucciones formales de restauración.

• No elimine las aplicaciones empresariales como primera medida. Conserve la configuración y las pruebas antes de realizar cambios irreversibles.

• Inventarie los cuatro ID de aplicación que aparecen en este perfil y registre el ID de objeto de la entidad de servicio local en cada inquilino.

• Revise todos los inquilinos de Microsoft 365 donde las aplicaciones afectadas estén o hayan estado instaladas o autorizadas, incluso si la integración ya no está en uso. Busque por ID de aplicación en lugar de por nombre para mostrar.

• Conserve los registros disponibles de inicio de sesión y auditoría de Microsoft Entra, los registros de auditoría de Microsoft Purview, los datos de SIEM y la telemetría de Microsoft Graph configurada previamente. No demore la contención urgente mientras espera las exportaciones.

• Revise la actividad a partir del 15 de octubre de 2026 como mínimo. Si hay registros disponibles, extienda la revisión de inicio de sesión de la entidad de servicio hasta el 1 de octubre e investigue la actividad relacionada anterior, incluidas las autenticaciones fallidas y las anomalías de volumen.

• Revise por separado los inicios de sesión de la entidad de servicio correctos y fallidos. Investigue las fuentes desconocidas y la actividad fuera de la infraestructura del proveedor; no limite la revisión a las direcciones IP publicadas.

• Revise los registros de auditoría de Microsoft Entra (https://learn.microsoft.com/en-us/entra/architecture/security-operations-applications) para detectar adiciones de credenciales de aplicaciones o entidades de servicio; nuevas aplicaciones, entidades de servicio o propietarios; asignaciones de roles de aplicación y concesiones de consentimiento; asignaciones de roles privilegiados; y cambios en usuarios, grupos, métodos de autenticación o acceso condicional. Si se confirma actividad sospechosa, revoque los permisos innecesarios y rote las credenciales.

• Revise los registros de auditoría de Microsoft 365 para detectar actividades de reconocimiento, como listados de directorios, permisos y aprobaciones provenientes de direcciones IP inusuales.

• Revise los registros de auditoría de Microsoft 365 para detectar accesos inusuales a correo electrónico o archivos, descargas, reenvíos, reglas de bandeja de entrada o transporte, permisos de buzón delegados y actividad de recursos relacionada. - Conserve las pruebas y, a continuación, solicite a un responsable debidamente autorizado que elimine las credenciales, permisos, propietarios, asignaciones e identidades no autorizadas confirmadas.

Recomendaciones adicionales

• El uso indebido de la IA por parte de los ciberdelincuentes acelera el riesgo en los entornos empresariales al amplificar las amenazas existentes, como la explotación de vulnerabilidades, el phishing, el malware y las actividades internas. Para ayudar a las organizaciones a anticiparse a las amenazas basadas en IA, Microsoft ha presentado el Panel de seguridad para IA. Este panel proporciona a los usuarios una visión unificada de la postura de seguridad de la IA al agregar el riesgo de seguridad, identidad y datos de Microsoft Defender, Microsoft Entra y Microsoft Purview. Esto permite a las organizaciones comprender qué activos de IA existen en su entorno, reconocer patrones de riesgo emergentes y priorizar la gobernanza y la seguridad en todos los agentes, aplicaciones y plataformas de IA. Para obtener más información sobre el Panel de seguridad de Microsoft para IA, consulte: Evalúe el riesgo de IA de su organización con el Panel de seguridad de Microsoft para IA (versión preliminar).

• Habilite la protección contra amenazas para servicios de IA en Microsoft Defender para la nube para identificar amenazas a las aplicaciones de IA generativa en tiempo real y obtener ayuda para responder a problemas de seguridad.

• Aplique el principio de mínimo privilegio a los permisos y concesiones de consentimiento de las aplicaciones multiusuario.

• Supervise la adición de credenciales, la asignación de privilegios y la actividad anómala exclusiva de aplicaciones, especialmente en aquellas con permisos y ámbitos de alto privilegio.

• Verifique que la rotación de credenciales del proveedor y cualquier corrección a nivel de inquilino hayan eliminado el acceso no autorizado restante.

Evalúe el impacto operativo en los flujos de trabajo de copia de seguridad y restauración, y siga las directrices de restauración de ConnectWise vigentes.

Detecciones de Microsoft Defender XDR

Los clientes de Microsoft Defender XDR pueden consultar la lista de detecciones aplicables a continuación. Microsoft Defender XDR coordina la detección, la prevención, la investigación y la respuesta en puntos finales, identidades, correo electrónico y aplicaciones para proporcionar protección integrada contra ataques como la amenaza que se analiza en este blog.

Los clientes con acceso aprovisionado también pueden usar Microsoft Security Copilot en Microsoft Defender para investigar y responder a incidentes, buscar amenazas y proteger su organización con información relevante sobre amenazas.

| Táctica | Actividad observada | Cobertura de Microsoft Defender (Título de la alerta) |

| --- | --- | --- |

| Descubrimiento | Se observaron atributos de comportamiento inusuales en la actividad de la API Graph originada en la aplicación ConnectWise asociada. | Actividad inusual de Microsoft Graph asociada con la aplicación ConnectWise comprometida |

| Persistencia de escalada de privilegios Acceso inicial/Cuentas válidas | Una aplicación se asignó a sí misma un rol de alto privilegio mediante una operación de agregar miembro a roles. No se observó ninguna autoasignación previa a ese rol para la misma aplicación en los siete días anteriores. | Rol de administrador global autoasignado por la aplicación |

| Descubrimiento | La actividad de la API Graph para el usuario se originó en un indicador de IP activo y de producción del Centro de inteligencia de amenazas de Microsoft. | Actividad de la API Graph desde una dirección IP de inteligencia de amenazas de Microsoft |

| Cuentas válidas | Se detectó un inicio de sesión de usuario desde la infraestructura de un actor de amenazas estatal en esta cuenta. Un actor de amenazas podría haber comprometido la cuenta del usuario para obtener acceso no autorizado y realizar otras actividades maliciosas en su sistema. Investigue de inmediato para mitigar los riesgos de seguridad. | Inicio de sesión sospechoso desde infraestructura verificada de un actor de amenazas estatal |

| Robo de token de acceso a la aplicación | Se observó un inicio de sesión desde una dirección IP de un actor de amenazas conocido. Recomendamos investigar esta alerta de inmediato, ya que un actor de amenazas podría estar utilizando las credenciales robadas para moverse lateralmente en la red. | Inicio de sesión malicioso desde una dirección IP de un actor de amenazas conocido |

Detecciones de Microsoft Defender para aplicaciones en la nube

| Táctica | Actividad observada | Cobertura de Microsoft Defender (Título de la alerta) |

| --- | --- | --- |

| Persistencia | Se otorgó un rol de aplicación con altos privilegios a una aplicación o entidad de servicio. | Adición sospechosa de asignaciones de roles de aplicación a una entidad de servicio |

| Recopilación | Acceso de alto volumen al buzón por parte de una aplicación OAuth después de una asignación de rol sospechosa. | Actividad de acceso al correo sospechosa por parte de una aplicación OAuth después de la asignación de roles |

| Recopilación | Una aplicación OAuth sospechosa que se agregó recientemente comenzó a acceder a la carpeta Mensajes de Teams mediante un cliente de correo electrónico. Aplicación OAuth recién agregada accede a la carpeta de mensajes de Teams a través de un cliente de correo electrónico |

| Acceso a credenciales | Se ha observado actividad de una aplicación OAuth desde un ISP poco visitado, lo que indica un posible comportamiento sospechoso. | Actividad de una aplicación OAuth desde un ISP poco visitado |

| Exfiltración | Se ha observado que aplicaciones OAuth realizan extensas actividades de enumeración de SharePoint de Microsoft Graph poco después de la creación o modificación de la aplicación | Aplicación OAuth sospechosa creada desde un contexto de usuario de riesgo que realiza enumeración de SharePoint de Graph |

| Escalada de privilegios | Permisos riesgosos que permiten al usuario actuar como otras entidades o escalar a administrador global, otorgados a una entidad de servicio | Roles de aplicación con altos privilegios asignados a una entidad de servicio |

| Persistencia | Una entidad de servicio se asignó un rol de aplicación | Adición sospechosa de asignaciones de roles de aplicación por parte de la entidad de servicio |

Microsoft Defender para la nube (Microsoft Defender para Key Vault)

| Táctica | Actividad observada | Cobertura de Microsoft Defender (Título de la alerta) |

| --- | --- | --- |

| Persistencia | El atacante comprometió una aplicación multiusuario a la que los clientes de Azure habían otorgado acceso a sus entornos. Utilizando el acceso de confianza y los permisos existentes de dicha aplicación, el atacante accedió a los entornos de los clientes. Allí, enumeró los recursos en la nube y leyó secretos a gran escala en múltiples Azure Key Vaults. También se observó la enumeración de claves y una operación de desencriptación de claves. | KV_AccountVolumeAccessDeniedAnomaly |

Microsoft Security Copilot

Los clientes de Security Copilot pueden usar la experiencia independiente para crear sus propias indicaciones o ejecutar los siguientes libros de indicaciones predefinidos para automatizar las tareas de respuesta a incidentes o investigación relacionadas con esta amenaza:

• Investigación de incidentes
• Perfil del actor de la amenaza
• Informe de Threat Intelligence 360 basado en el artículo de MDTI

Tenga en cuenta que algunos libros de indicaciones requieren acceso a complementos para productos de Microsoft, como Microsoft Defender XDR o Microsoft Sentinel.

Informes de inteligencia de amenazas

Los clientes de Microsoft pueden usar los siguientes informes en los productos de Microsoft para obtener la información más actualizada sobre el actor de la amenaza, la actividad maliciosa y las técnicas que se analizan en este blog. Estos informes proporcionan inteligencia, información de protección y acciones recomendadas para prevenir, mitigar o responder a las amenazas asociadas detectadas en los entornos de los clientes.

Análisis de amenazas de Microsoft Defender XDR

Perfil de actividad: Una campaña a gran escala de un estado nación, impulsada por IA y que utiliza ARTEX, permite la vulneración de la cadena de suministro

Indicadores de compromiso (IOC)

| Indicador | Tipo | Descripción |

| --- | --- | --- |

| 144.172.64[.]128 | IP | Se observó que estas IP realizaban inicios de sesión y actividad de la API Graph en entornos de clientes de aplicaciones ConnectWise. |

| 144.172.64[.]99 | IP | |

| 144.172.64[.]60 | IP | |

| 187.15.88[.]186 187.15.90[.]217 187.15.89[.]186 | IP | Se observó que estas IP accedían a la API de Graph a través de las aplicaciones comprometidas. Sin embargo, dado que son IP de VPN, su actividad es transitoria y relevante para la investigación del 15 y 16 de octubre en el contexto de las aplicaciones comprometidas. |

| Python-urllib/3.12 | Agente de usuario | Se observó que estos agentes de usuario realizaban inicios de sesión y actividad en la API de Graph en entornos de clientes que utilizaban aplicaciones ConnectWise. |

| python-requests/2.31.0 | Agente de usuario | |

| python-requests/2.34.2 | Agente de usuario | |

| curl/7.88.1 | Agente de usuario | |

| azure-toolkit/1.0 | Agente de usuario | |

Búsqueda avanzada

NOTA: Las siguientes consultas de ejemplo permiten buscar eventos de una semana. Para explorar hasta 30 días de datos sin procesar, inspeccionar eventos en la red y localizar posibles indicadores relacionados con esta campaña durante más de una semana, vaya a la página Búsqueda avanzada > pestaña Consulta, seleccione el menú desplegable del calendario para actualizar la consulta y buscar los últimos 30 días.

Búsqueda avanzada de Microsoft Defender XDR

1- OAuthAppInfo → ¿Está presente la aplicación afectada, habilitada y qué permisos tiene?

Comience con OAuthAppInfo para determinar si alguna de las aplicaciones de ConnectWise afectadas está presente en el inquilino y comprender el acceso que se les ha otorgado. La consulta identifica la aplicación y su entidad de servicio específica del inquilino, si está habilitada, su nivel de privilegio, la información de consentimiento y los permisos individuales que se le han asignado.

Esto establece la posible exposición del cliente y proporciona a los investigadores el ServicePrincipalId necesario para una búsqueda más exhaustiva. Una coincidencia no significa que la aplicación haya sido utilizada indebidamente, solo que está presente y potencialmente tuvo acceso, por lo que el siguiente paso es determinar si la entidad de servicio se utilizó realmente. [Ejecutar] consulta](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAB9_1moAA62UW2vbQBCFz3Oh_0HkqYa4UXxpbEoe0hRK6C1glz6UPsi2krixY2E5bgP98f1mJIOtyI6Cy7IrzeycmbM7MztRrIWOgnPNdMeINUT-rrFS_s-UMFKdaqQHdiNN2RnqlX7opV6Ay8aB2gr 1BkSojq7UVd2lLoi6WqAj1jpySw0N-Iuw7Pp-qCa2LUYE4kCHOmKU8wnQT9i5x2OgdyCGukVKCmwaHieEVVPHHtmidpxXy1meOIdGzquN3EVvF h10bWcUPsmmzvysHmsf2W4nLTAJYRo7hyExLOqAGAP0xuQYfid-L3YHpmui7aAzFl34GZ8GcnUmHzQHm-jGmQQ-icPY9Hj1h_00WvhFv-XWM3 hY7zmLs9cjsiWsfipmt6it-vVNU9ezd5dV2AusLe9v7qN3rzYWd6bGlZH2MfUIG7K7aW-5tqyWli_UEbYT1ydhZh6oiU1fyclmrT3IvhF6yGX 89vGeaL10GMxwVyyjp3ztdwLrN_XapdeamR9_WIfb_pa-_a7KzV4zzGvneLhCxF5LN6TMvEPnENX4xShu3DKtn7LldeqkS89AhL5oRd4_yJuWR OnsViu5cii2_gIrfpeccsqPn0GbHK8av6T0DM9CvvkvW4WSZWOd_kVNZ5mxY957L0FyDOz3vH_9j7bFKCyDytcyxmY_udbVpegD3D_9Rjnuedat1pPVqMu6u7qlfgfpXzVD9V6bcqVZPl3N7eUf4SD-AfaDPXAd-UXB1ueQt3nSRwz4b-B4d38586CAAA&timeRangeId=day)

let ConnectWiseApps = dynamic([
"506e08f9-6e9a-4da4-942b-a099a03644ae", // ConnectWise Cloud Backup
"24205314-2b89-4e07-a2a4-579e898a5640", // ConnectWise - MS Teams
"0de14c77-b9b0-4137-9360-34878a929827" // ConnectWise - MS Graph 
]);
OAuthAppInfo
| donde OAuthAppId está en (ConnectWiseApps)
| mv-expand Permission = Permissions
| Extender

PermissionName = tostring(Permission.PermissionName),
TargetApp = tostring(Permission.TargetAppDisplayName),
TargetAppId = tostring(Permission.TargetAppId),
PermissionType = tostring(Permission.PermissionType),
PermissionPrivilegeLevel = tostring(Permission.PrivilegeLevel),
UsageStatus = tostring(Permission.UsageStatus)
| proyecto

AppName,
OAuthAppId,
ServicePrincipalId,
AppStatus,
PrivilegeLevel,
IsAdminConsented,
PermissionName,
PermissionType,
PermissionPrivilegeLevel,
TargetApp,
TargetAppId,
UsageStatus
| Ordenar por AppName asc, PermissionPrivilegeLevel desc

2 – Eventos de inicio de sesión de EntraIdSpn + Eventos de auditoría de la API de Microsoft Graph → ¿Se autenticó la entidad de servicio y qué actividad de Microsoft Graph se produjo posteriormente?

Utilice esta consulta para investigar los inicios de sesión de entidades de servicio y la actividad de la API de Microsoft Graph asociada a las aplicaciones ConnectWise identificadas y las direcciones IP sospechosas, a partir del 13 de octubre de 2026.

La consulta combina ambos tipos de eventos en una vista cronológica, lo que ayuda a los responsables de seguridad a identificar autenticaciones sospechosas y operaciones de Graph relacionadas, incluidos posibles cambios de credenciales, modificaciones de privilegios y accesos inusuales a recursos. Elimine el filtro de IP para una búsqueda más amplia. Los resultados requieren una correlación adicional, ya que la autenticación por sí sola no demuestra una vulneración de seguridad. [Ejecutar] consulta](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAGeB1moAA8VVbWvTUBQ-nwX_w2WfOljWNE1fgijMrUgRZawDP4gf0uZqo1kbmqgM9uN9zpMuW5NoIg7k0tyX8_ac555zm4iVXIwsMO_kh8SywuoS61g2WMeSSoKTuUSSQe8lfpHcQhbKDbV78lGeyzPpm2Icwdcl9C9kIEdyIn0MI29hsZWf-P45Voho GqvZoweP5h88fpJjecFVwrz7Zk7PG8jVNsTZFtYZ8mzLciA-xinmCXCdypi7sbhl1urbNHjv4ifAeAo_A6yn8NTmp8qMkXPINhgWmrl8gEWG9RkYTTvxMwITY1i4iP8Z2TjcBbBwgCzC7GMV4OvJEqsQmgHlrgyJ3sfaliw041GcCSTf4dHIa1is5Bt2aQWNxzguUA3JlMOoU-LyiXJCDN4e1wj7AOeqMcXZiIjcVjQOfu9Qj0ausVd2sgoSF0gtM awQQ6MuEWOJc0UyAL4JeRmylhzMPhBMiCIAPsXjYd8dyRvccQhG1kRi9uMpkSiOBXi_RVfGvAGDWgsRNyeyHfdb7rUfDytuBp2cGLVPF0C6wTeWL5i1WmfobEudgss7dP2aXi15jsGyhSwn36m8YnVqdWslF9Ieb99DJg4yc_kdAkHdX1HhSdkhMfmds75ivja9lt5o8qq9dwYfEfcZ39J7b797g47L-71hDhv2pda6zqpl6E3fPYtohtwmnFdEr pIct2LQgTv6Ubs1EVjqNeXaxHKXF_Yho27_Jv87v5Q2X_e3-LhL6zV1ciBvrpEuOpr5oV4bs--JwP6lVRFH-b0msyHZdZBRynxjMKa2hkw9eDJk5dCX3smy5M nwn_gxlisypfe2o48L9oPmHuJumvFXbeq81DvmUD7D-Y6dohUU1SKcU6a2SYX_4vb7RuXR_nVasorq9641lAHhLw9EKqEoCQAA&timeRangeId=SetInQuery)

dejar Aplicaciones = dinámico([
"506e08f9-6e9a-4da4-942b-a099a03644ae",
"24205314-2b89-4e07-a2a4-579e898a5640",
"0de14c77-b9b0-4137-9360-34878a929827" ]);
IPs = dinámico(["144.172.64.60", "144.172.64.99", "144.172.64.128"]); unión tipo=externa

(EntraIdSpnSignInEvents

| extender EventType = "Inicio de sesión"),

(GraphAPIAuditEvents

| extender EventType = "API de Graph", IPAddress = IpAddress)
| donde Marca de tiempo >= datetime(2026-10-13)
| donde ApplicationId en (Aplicaciones)
| donde IPAddress en (IPs) // Comentar para una búsqueda más amplia
| project-away IpAddress
| ordenar por Marca de tiempo asc

3 – Lectura masiva de secretos de Key Vault por una sola identidad en múltiples bóvedas

[Ejecutar] consulta](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAC-J2moAA21SXUsDMRCcZ8H_EPp0hXuwfjxaOI6iRVCxxVeJd8VG-yEmVSr-eCdzetfSsCS32czObmavxAJrbFDjBjNs8QjL0wIBI3wysqLncYwj_MDgC3PGPrgMpnBY0vNEWHrvjA25LF7ImGGAc7L2k7kFKmY5VnD8bnErhnhzSTPoYcJTJXTAlfaeuFfkNLj mObDiRLUDO_YoWbXe4TjFCe2_uidmSbPkdPgW7rCGV7ZhNGoS357xBTkjnS5le9dg6z10Qe6NOB-kzVqniv5YauTqyMjGuG8rxs7eiHpiZCameFswpxabp-V_r-rvcDxTvbg71s8SM4k5A1zQb94Rle_6vWPmq1QI6u8QMdU_YOVHRGqaaR2H7RS6uaVVbJBn-AUhUv4_jAIAAA&timeRangeId=SetInQuery)

Eventos de CloudKeyVault
| donde Marca de tiempo > hace (14 días)
| donde ActivityName == "SecretGet" y HttpStatusCode == 200
| resumir SecretGets = count(), VaultCount = dcount(AzureResourceId),

IPs = make_set(IPAddress, 20)

por bin(Timestamp, 15m), AccountObjectId, AccountTenantId
| donde SecretGets >= 20 y VaultCount >= 3

4 – Actividad de Key Vault, Almacenamiento y ARM de las IP de IOC

[Ejecutar] consulta](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAN2J2moAA72TS0vDUBCFz1rwP4SuGgiiVXwgCkFcFJ9YcSMuahNipDalSasVf7zfnbSoTVp3Jcy9mck5M-fcJH3FKuSprVvl7CdEpKkG6upNqXpq6lEN7WiPa4v9QC32_VnW0iFPg6WIfW2vfH7E1dCTfB1rUxsaMzlVxuqyps7UJxuj6QKlUz2ga0yt0LkmVAbcOd1fxLteqIyI0k8IK7I8N0wK 2qNn6dWfsWJ90MN1isg6Nm2E73h2Go3KZOfH042GNq1LpVRc4kO4rjIhCnjXdpIx84KKpw6IzHokIELWxPQm1jUGsT6Xf7Ws9uiQOevIpiVMqyLnvnNdUnFov_YMQlvTtb7RUHe6-sfjcke-eVjUdw-q9FsYbkjtlHDnmaFxlz8h-sUdwsv0CqNnf2CVHyyoD2pPod5DYF_ip3Fj3DrsT6c2_LkO984jY3t65nutd9Il6-kbbDmXvC4EAAA&timeRangeId=SetInQuery)

let IPs = dynamic(["144.172.64.128","144.172.64.60","144.172.64.99"]);
unión

(CloudKeyVaultEvents | donde IPAddress en (IPs) | extend Source = "KeyVault", Operation = ActivityName),

(CloudStorageAggregatedEvents | donde IPAddress en (IPs) | extend Source = "Storage", Operation = tostring(OperationNamesList)),

(CloudAuditEvents | donde IPAddress en (IPs) | extend Source = "ARM", Operation = OperationName)
| donde Timestamp > ago(30d)
| proyecto Timestamp, Source, IPAddress, Operation, AzureResourceId
| Ordenar por marca de tiempo ascendente

Consultas de búsqueda de Sentinel

1-SigninLogs → ¿Se autenticó una entidad de servicio, desde dónde y contra qué recurso?

Utilice SigninLogs para determinar si una identidad de aplicación afectada se autenticó realmente. Esto traslada la investigación de una posible exposición a una autenticación observada, lo que permite a los responsables de la seguridad examinar la aplicación y la entidad de servicio junto con la dirección IP de origen, la información geográfica, el resultado de la autenticación y el recurso al que se accede. Los investigadores deben evaluar estos inicios de sesión comparándolos con la actividad esperada de la aplicación y buscar infraestructura de origen, recursos o patrones de autenticación inusuales antes de pasar a la actividad posterior de Graph. [Ejecutar] consulta](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAA3U12oAA61UXWvbQBCc50L_g8iTA1ElS7JlUVpIUwimH4S60IfSB1k-J24Ux1huQqA_vrMjOY0cJ6hQDt3d3n7Nze6phMMGgTfGGcZYYoYFCuQ8u8YaFTVv-M1wR12OK2l7-I6XeMHzehygj4TjFdcUEdehpCFCH OCotkPQZLF5N0-XaBnH_4vW537EeN2i_cAhXmtXNnydULfkcLTc4Bs9Ku6PseLoytqA_AzpFRLJnLfzJWX08IlxxjXhLuMcYcpdTstM-hCx7pFw77as6Bb7cdl5Sc0vRg28d_QqcElptYMoUq6QyGLx5ivzSNgSIU2FI2qwDShnPDeLEc8GQhV2QuTz-4QJ56-UjaVqB01ItE44CuaxzFPmmfLc0PSJMRU_sT rN55oQRSokGTEapojyv6E5Zc1zMnOxg6ZQTOsbu-Wc-ULxnwpNIhZ84YtUwSH3BTHFDZYpT_vq4S2WCWtwhw_qjkvKZ7RYE5WhW0u-lpyzdu0unNDnnHYLfh9pdd5w95tet0Ru_k7MLsirwym_Oqp1tVMXvEXdo_XJprHsqf4R0ftEG2qOmXdf9Lrbx4pmSAKvh-ffxf449vKOGWUmudL72cZ76r902KrolbA v9TKty201y8CziDf0dbilZEyWWgvd2DQb1iDw5oxqcczvQiic7Ax3eZ97odtV8O7vsZLfz-a-Dzvmae6PWnZ_WWyfT-Rzo9yOLKxV7YLzSh 3xWW_G7Xh9EXbjYC2_96qA3SHnPbv5PMbyuEJt_YmqYrryAU8WZ8uT6WdNX0_F-HO9mTNDgT97GqX4nAYAAA&timeRangeId=SetInQuery)

dejar IndicadoresIP = dinámico([
"144.172.64.60", // Indicador IP
"144.172.64.99", // Indicador IP
"144.172.64.128" // Indicador IP
]);
let ConnectWiseApps = dinámico([
"506e08f9-6e9a-4da4-942b-a099a03644ae", // Copia de seguridad en la nube de ConnectWise
"24205314-2b89-4e07-a2a4-579e898a5640", // ConnectWise - MS Teams
"0de14c77-b9b0-4137-9360-34878a929827" // ConnectWise - MS Graph
]);
Registros de inicio de sesión
| donde TimeGenerated >= datetime(2026-10-13)
| donde AppId en (ConnectWiseApps)
//| donde IPAddress en (IPIndicators) // Comentar para revisar toda la actividad de estas aplicaciones
| proyecto

TimeGenerated,
AppId,
ServicePrincipalName,
ResourceDisplayName,
ResourceId,
IPAddress,
CorrelationId
| ordenar por TimeGenerated asc

2 – MicrosoftGraphActivityLogs → ¿Qué actividad observable de la API de Graph se produjo después?

Utilice MicrosoftGraphActivityLogs para investigar la actividad observable de Microsoft Graph tras la autenticación. Esta consulta permite a los responsables de seguridad centrarse en el ApplicationId afectado o en el ServicePrincipalId específico del inquilino y examinar detalles como el URI de la solicitud, el método HTTP, el estado de la respuesta, los ámbitos, la dirección IP de origen y la carga de trabajo de destino. Esto ayuda a determinar qué actividad de Graph se produjo después de que la entidad de servicio se autenticara y proporciona contexto adicional sobre los recursos a los que la aplicación intentó acceder.

Es importante destacar que la ausencia de resultados no debe interpretarse como una confirmación de que no se produjo ningún acceso; la telemetría de la API de Graph debe considerarse junto con los permisos de la aplicación y la actividad de autenticación de la entidad de servicio identificada en los pasos de búsqueda anteriores. [Ejecutar consulta](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAJrU12oAA61U227TQBCdZyT-IepTKtXYsZ2LhUAKeUARVFSkiAfEgy8bYupcsF2qSnw8Z46dprbTKkjIsndndubsmbOzzsRIKXZvLlcyl40kkkosIXxbyaXAyhu8idxjLZQ1V_vyTV7KC_ir50wG4uN5hXEsLsYRrZE4ciYXVZ zY9S76be9zClqA5_-hDTCfAO80tO9yLq85y2q9Zljb4DGILOUrMgrMp7LDc6pqQ-gzQpYDJktUZ9EKkGGBY4LRxyzA15UIsxCRAdcd8ViHj7nZq8IqjvNSf4aVW6DavXfIiuUG1q7FyOVeDph51M3izhNy88l0TB5uzW0IO4BfIybwDcnKOYmRhfdSFvhew1aVihYbB2wNecTYR3eOsE8Ev7IZgOOY-njsNAujDxZjMgnAU Tm5sP-NzXuceQhlVi02MTG1b7TKJfZzqP-YbHyqYJGfyxMcYR6Dk1dzieAdsIf3XBY4g3v5wO64gX2FiByslF1Oe0s7xNk1u_CSOTnWC7xLxBxYT1lZKr_xlsD_iIgftbZ_gHqHGMU3VD6F7gbZpt5Vu96wS95K1cOVp6wj--wPF9VZqMbh1wOvY-jVbZgTLQW-3evL8_fmOI7ezClQEtoF79ce76n_1nnjxNfkvuHN1Vu go0baPUVUpYzcwVKls0YPqK-pp91bUvk1MVZkZBinNWQPPFJWetB9x6yfdeWPe-vpU7hoxB30bPq7-jTXP8P7C1XrWone0dNcgUsbpxn3BWjpkYg CHKrKDO5LSa63sGZENK2MBardIsN0WM2oVXUqzZ27FX4iQv5I125MF2OvvHZEUt-piCf4XN-HyI_lL5sKY0QYBwAA&timeRangeId=SetInQuery)

dejar IndicadoresIP = dinámico([
"144.172.64.60", // Indicador IP
"144.172.64.99", // Indicador IP
"144.172.64.128" // Indicador IP
]);
let ConnectWiseApps = dinámico([
"506e08f9-6e9a-4da4-942b-a099a03644ae", // Copia de seguridad en la nube de ConnectWise
"24205314-2b89-4e07-a2a4-579e898a5640", // ConnectWise - MS Teams
"0de14c77-b9b0-4137-9360-34878a929827" // ConnectWise - MS Graph
]);
Registros de actividad de MicrosoftGraph
| donde TimeGenerated >= datetime(2026-10-13)
| donde AppId en (ConnectWiseApps)
| donde IPAddress en (IPIndicators) // Comente para revisar toda la actividad del gráfico de estas aplicaciones
| proyecto

TimeGenerated,
AppId,
IPAddress,
RequestMethod,
RequestUri,
ResponseStatusCode,
Scopes,
ClientRequestId,
OperationId,
RequestId
| ordenar por TimeGenerated asc

Técnicas MITRE ATT&CK observadas

Esta amenaza ha mostrado el uso de las siguientes técnicas de ataque. Para obtener documentación estándar del sector sobre estas técnicas, consulte el marco MITRE ATT&CK.

Reconocimiento

• Escaneo activo T1595 | Escaneo de recursos en la nube para identificar objetivos de compromiso.

Acceso inicial

• T1078.004 Cuentas válidas: Cuentas en la nube | Uso de cuentas en la nube comprometidas para obtener acceso.

• T1195 Compromiso de la cadena de suministro | Compromiso de una aplicación OAuth multiusuario para acceder a entornos de clientes.

• T1199 Relación de confianza | Acceso a entornos de clientes a través de una aplicación de terceros de confianza comprometida.

Escalada de privilegios

• T1098.003 Manipulación de cuentas: Roles adicionales en la nube | Adición de asignaciones de roles privilegiados en la nube, incluyendo la autoasignación de administrador global desde una de las aplicaciones de administración de ConnectWise.

• T1098.001 Manipulación de cuentas: Credenciales adicionales en la nube | Adición o modificación de credenciales de aplicación.

Acceso a credenciales

• T1528 Robo de token de acceso a la aplicación | Compromiso del material de autenticación de la aplicación OAuth.

• T1555.006 Almacenes de administración de secretos en la nube | Lectura masiva de secretos desde Azure Key Vaults

Descubrimiento

• T1087.004 Descubrimiento de cuentas: Cuenta en la nube | Identificación de cuentas privilegiadas en la nube para ataques posteriores.

• T1580 Descubrimiento de infraestructura en la nube | Mapeo de la infraestructura en la nube para ataques posteriores.

Referencias

• Abuso de credenciales de proveedor de ConnectWise (SkyKick) en ataques a M365. Huntress

• Centro de confianza de ConnectWise: Avisos de copia de seguridad en la nube. ConnectWise (consultado el 19/10/2026).

• Guía técnica de investigación y remediación de ConnectWise Cloud Backup. ConnectWise (consultado el 19/10/2026).

Más información

• Para obtener orientación sobre cómo investigar y responder a aplicaciones comprometidas, consulte Investigación de aplicaciones comprometidas y maliciosas.

• Aprenda a investigar la autenticación exclusiva de aplicaciones con Registros de inicio de sesión de entidad de servicio.

• Revise las credenciales de la aplicación, los permisos, las asignaciones de roles y los cambios de configuración en Operaciones de seguridad de Microsoft Entra para aplicaciones.

• Aprenda a investigar proactivamente las amenazas con Búsqueda avanzada en Microsoft Defender XDR.

• Explore las tablas de búsqueda avanzada OAuthAppInfo y GraphAPIAuditEvents.

• Aprenda a encontrar la actividad de Microsoft 365 con Buscar en el registro de auditoría.

• Consulte las directrices para reducir los permisos excesivos de las aplicaciones en Proteger las aplicaciones con el mínimo privilegio.