Microsoft: группа Storm-0940 получала доступ к облакам жертв менее чем за три часа

Microsoft Threat Intelligence опубликовала отчёт о группировке Storm-0940, которая с сентября 2026 года применяет открытый фреймворк ИИ-агентов ARTEX. Атакам подверглись сотни организаций по всему миру. В части случаев хакеры получали полный доступ к облачной инфраструктуре жертвы меньше чем за три часа.

Microsoft связывает эту группировку с недавним взломом цепочки поставок ConnectWise. Вредоносное ПО, по данным компании, не затрагивало продукты самой Microsoft, а сам факт взлома ещё не означает кражу данных.

Как работает ARTEX

Storm-0940 занимается кражами данных с 2021 года. Раньше группировка вручную подбирала пароли и взламывала приложения, теперь рутину выполняет искусственный интеллект.

ARTEX представляет собой набор из нескольких ИИ-агентов. Они самостоятельно сканируют цели, подбирают пароли и захватывают приложения, у которых уже есть доступ к облаку компании. Пароль пользователя при этом не требуется. Фреймворк открытый: к нему можно подключить любую языковую модель.

После взлома ConnectWise хакеры пытались войти более чем в 2250 клиентских облаков со скоростью 2900 попыток в минуту. Агенты работают круглосуточно и одновременно пробуют несколько путей. Средства защиты фиксируют атаку, но у людей не хватает времени на реакцию. Большинство попыток провалилось, однако во многих компаниях хакеры закрепились с правами администратора.

Кто в зоне риска

В отчёте Microsoft в списке отраслей указаны финансы, софт и технологические компании. Под него подпадают биржи, кошельки и инфраструктурные сервисы.

Главная угроза — скорость. Если ИИ-агент добрался до облака биржи или кастодиана, у команды безопасности может быть всего пара часов, чтобы это заметить. За это время хакеры успевают выкачать базу клиентов, переписку и внутренние документы. Такие утечки обычно заканчиваются фишингом и звонками мошенников под видом поддержки.

Второй риск — сами инструменты. ARTEX уже применяли при утечках данных из корейских финансовых организаций. То, что сегодня умеет группировка, завтра повторят обычные мошенники.

Участникам рынка стоит включить двухфакторную защиту через приложение, а не по SMS, не держать крупные суммы на биржах и не доверять звонкам от «службы безопасности», даже если звонящий знает ваши данные.

В соцсетях инцидент уже сравнили с историей вокруг Hugging Face. Один из пользователей отметил, что происходящее сейчас, вероятно, намного хуже.