Niente password rubate, nessun utente che clicca sul link sbagliato: solo una fiducia digitale tradita. Tra il 13 e il 17 ottobre un attore che Microsoft segue come Storm-0940 ha trasformato le integrazioni cloud di ConnectWise, uno dei principali fornitori di software per gli MSP (Managed Service Provider) con oltre 100.000 clienti, in un passepartout per centinaia di tenant Microsoft 365. In alcuni episodi, dalla scelta del bersaglio all’accesso privilegiato al cloud sono passate meno di tre ore.

Un attacco alla supply chain, non al singolo cliente

Al centro della vicenda c’è ConnectWise Cloud Backup, il servizio di backup cloud nato dall’acquisizione di SkyKick e integrato nella suite RMM che migliaia di MSP usano per gestire i tenant Microsoft 365 dei propri clienti finali. Gli aggressori non hanno colpito le vittime una per una: hanno compromesso le credenziali del service principal con cui l’app Cloud Backup si autentica verso Microsoft 365, ottenendo così un accesso che vale per ogni tenant che aveva già concesso fiducia a quell’app. È la definizione da manuale di supply chain attack: un solo punto di ingresso compromesso che si traduce in centinaia di porte aperte contemporaneamente.

Secondo i dati raccolti dal vendor di detection Huntress e confermati nella sostanza da ConnectWise, gli accessi non autorizzati hanno riguardato almeno 162 tenant Microsoft 365, con circa 1.000 account presi di mira da tentativi di sign-in dall’infrastruttura usata dall’attaccante e oltre 300 accessi riusciti. In parallelo, in circa 50 organizzazioni sono stati osservati pattern di assegnazione di ruoli amministrativi — soprattutto Exchange Administrator — tramite le app ConnectWise, mentre un’ondata distinta e più mirata ha colpito 16 organizzazioni attive nei settori policy, sicurezza nazionale, commercio e minerali critici, quasi tutte senza alcun collegamento diretto con prodotti ConnectWise: un dettaglio che suggerisce un secondo livello di targeting più selettivo sopra il rumore di fondo dell’abuso di massa.

Cronologia dell’incidente

• Non oltre settembre 2026: inizio presunto della campagna di raccolta credenziali.
• 10–14 ottobre: campagna di password spraying contro 327 account in otto organizzazioni, con oltre 151.000 tentativi falliti e picchi di circa 2.900 tentativi al minuto. L’attacco diretto, da solo, non va a buon fine.
• 13–14 ottobre: tentativi di password guessing dall’indirizzo IP 144.172.64[.]128 contro almeno quattro studi legali.
• 15 ottobre, 06:13–08:34 UTC: la credenziale compromessa dell’app Cloud Backup viene usata per accedere a più tenant in sequenza, nello stesso ordine, come da una lista di target predefinita.
• 17 ottobre: ConnectWise disabilita sette identità applicative, revoca i certificati, invalida le credenziali condivise e sospende Cloud Backup, SaaS Security e Cloud Management.
• 21 ottobre: avvio del ripristino graduale dei servizi.
• 22 ottobre: Microsoft pubblica la propria analisi della campagna, definendola supply chain attack.

Come hanno operato: abuso di fiducia, non exploit

Il dato tecnico più interessante non è il vettore di accesso iniziale — ancora “under investigation” secondo ConnectWise, che non esclude né conferma una vulnerabilità di prodotto — ma quello che gli attaccanti hanno fatto dopo. Una volta in possesso della credenziale dell’app, non hanno dovuto autenticarsi come utenti né ottenere alcuna conferma da una persona: hanno semplicemente sfruttato la relazione di fiducia OAuth già stabilita tra l’app ConnectWise e i tenant Microsoft 365 dei clienti, tentando l’accesso a oltre 2.250 ambienti attraverso quella sola integrazione.

In diversi ambienti compromessi gli operatori hanno poi usato le API di Microsoft Graph per enumerare la struttura delle directory, aggiungere nuove credenziali alle app esistenti e modificare le assegnazioni di ruolo, assicurandosi così una persistenza che sopravvive alla semplice disattivazione dell’app di terze parti. In almeno un caso documentato, un’app ConnectWise collegata a Teams si è autopromossa a Global Administrator, aggiungendo credenziali valide fino al 2028 ad altre due applicazioni fidate, incluso lo stesso tool di detection Huntress — un dettaglio che dà la misura di quanto gli attaccanti puntassero a un controllo duraturo, non a un semplice colpo mordi e fuggi.

Microsoft, da parte sua, dichiara di non aver trovato prove dirette di lettura o esfiltrazione di posta e file nei casi analizzati, ma ammette un limite importante: alcune letture effettuate tramite le app non vengono registrate nei log standard, quindi un accesso riuscito senza evidenze di esfiltrazione non equivale a nessuna esfiltrazione. Nessuna compromissione dell’infrastruttura Microsoft è stata identificata; il problema risiede interamente nella catena di fiducia tra fornitore MSP e tenant cliente.

Chi è (o non è) Storm-0940

Il nome Storm-0940 è la designazione temporanea che Microsoft Threat Intelligence assegna a cluster di attività non ancora attribuiti con certezza a un gruppo noto. Le fonti finora pubbliche non riportano un’attribuzione statale esplicita, ma alcuni dettagli operativi — l’uso di ARTEX, una piattaforma open source di agenti IA per la scansione automatizzata di servizi esposti, la verifica delle vulnerabilità e l’esecuzione di sequenze di attacco, già collegata in precedenza a furti di dati da istituti bancari sudcoreani — suggeriscono un operatore con capacità di automazione avanzate e un interesse non casuale per il settore finanziario asiatico. È un ulteriore segnale, assieme ad altre campagne recenti, di come gli agenti IA stiano diventando strumenti operativi standard anche per le intrusioni su larga scala, non solo per la difesa.

Due righe per i difensori

Per chi gestisce o si appoggia a uno stack ConnectWise, la priorità non è solo applicare la guida del vendor, ma verificare concretamente cosa è successo nel proprio tenant durante la finestra dell’incidente:

• Disabilitare (non eliminare) le app ConnectWise ancora attive, per preservare le tracce forensi prima di ogni bonifica.
• Controllare tutte le app registrate nel tenant per credenziali o certificati aggiunti dopo il 13 ottobre 2026, rimuovendo quelli non riconosciuti.
• Consultare i log di sign-in dei service principal in Entra ID — non la vista utente standard — cercando connessioni dall’IP 144.172.64[.]128 o pattern di accesso sequenziale anomalo.
• Rivedere tutte le assegnazioni di ruolo amministrativo, in particolare Exchange Administrator e Global Administrator, concesse tramite integrazioni ConnectWise.
• Valutare la revoca delle sessioni attive, ricordando che i token già emessi possono restare validi fino alla scadenza anche dopo la revoca delle credenziali a monte.
• Applicare la guida tecnica pubblicata da ConnectWise a ogni tenant gestito, poiché il vendor non è in grado di verificarli tutti autonomamente.

L’episodio Storm-0940 conferma una tendenza che gli analisti di threat intelligence osservano da tempo: gli MSP e i loro tool di gestione cloud sono diventati il bersaglio preferito per chi vuole moltiplicare l’impatto di una singola compromissione. Un solo set di credenziali, se inserito nel punto giusto della catena di fiducia, può valere quanto centinaia di attacchi riusciti singolarmente.

Indicatori di compromissione

IP sospetto (password guessing / accessi non autorizzati):
144.172.64[.]128

Finestra temporale critica:
10-17 ottobre 2026

Segnali da ricercare nei log Entra ID / Microsoft Graph:
- Nuove credenziali/certificati aggiunti ad app ConnectWise dopo il 13/10/2026
- Assegnazioni di ruolo Exchange Administrator / Global Administrator tramite app ConnectWise
- Accessi dei service principal Cloud Backup, SaaS Security, Cloud Management
  da IP di hosting provider anziché dall'infrastruttura Microsoft abituale
- Sequenze di sign-in automatizzate verso più tenant nello stesso ordine