Enligt en ny säkerhetsrapport från Microsoft har en Kinaanknuten hackergrupp använt AI för att automatisera omfattande cyberattacker mot företag och organisationer. Genom att utnyttja komprometterade applikationsuppgifter kopplade till IT-leverantören ConnectWise kunde angriparna försöka få tillgång till fler än 2 250 Microsoft 365-miljöer. I flera attacker tog det mindre än tre timmar att nå privilegierad åtkomst till molninfrastruktur.
AI används allt oftare för att effektivisera företagens verksamhet, men samma teknik ger också cyberkriminella nya möjligheter.
I en säkerhetsrapport publicerad den 21 oktober 2026 beskriver Microsoft Threat Intelligence hur hackergruppen Storm-0940 har använt ett AI-baserat ramverk för att automatisera cyberattacker i stor skala. 
Gruppen, som Microsoft bedömer har kopplingar till den kinesiska staten, har varit aktiv sedan 2021 och riktat in sig på organisationer inom bland annat försvar, energi, finans, myndigheter och teknikindustrin.
Det som gör den senaste attackkampanjen särskilt anmärkningsvärd är kombinationen av automatiserad AI-teknik och komprometterade applikationsidentiteter hos en etablerad IT-leverantör.
Genom attacken mot ConnectWise Cloud Backup kunde angriparna utnyttja befintliga behörigheter i Microsoft 365-miljöer hos leverantörens kunder.
AI-verktyget ARTEX användes för att automatisera attackerna
Enligt Microsoft använde Storm-0940 ramverket ARTEX, ett AI-baserat verktyg som ursprungligen utvecklats för penetrationstester.
ARTEX bygger på flera AI-agenter som kan genomföra olika moment i en säkerhetstestning med begränsad mänsklig inblandning.
Tekniken kan bland annat automatisera kartläggning av IT-miljöer, identifiering av potentiella angreppsvägar och andra moment som annars kräver manuellt arbete.
Microsoft uppger att Storm-0940 började använda ramverket redan i september 2026.
Genom automatiseringen kunde angriparna genomföra flera aktiviteter parallellt och kraftigt minska tiden mellan det första angreppsförsöket och eventuell åtkomst till organisationernas system.
I flera dokumenterade fall lyckades gruppen etablera privilegierad åtkomst till molninfrastruktur på mindre än tre timmar.
Det innebär att säkerhetsteam kan få betydligt mindre tid att upptäcka och stoppa ett pågående angrepp.
Över 2 250 Microsoft 365-miljöer utsattes för intrångsförsök
Microsofts undersökning visar att angriparna använde ARTEX för att försöka autentisera sig mot fler än 2 250 Microsoft 365-kundmiljöer efter komprometteringen av ConnectWise.
Under attackkampanjen förekom perioder med omkring 2 900 inloggningsförsök per minut.
Microsoft beskriver också en omfattande lösenordsattack mellan den 10 och 14 oktober.
Under den perioden registrerades fler än 151 000 misslyckade inloggningsförsök riktade mot 327 användarkonton hos åtta organisationer.
Den 11 oktober nådde aktiviteten sin högsta intensitet.
Microsoft understryker samtidigt att de flesta angreppsförsöken inte lyckades.
Att en organisation har utsatts för inloggningsförsök betyder inte heller att angriparna har fått tillgång till information eller lyckats stjäla data.
ConnectWise blev en väg in till kundernas molnmiljöer
En central del av attacken var komprometteringen av applikationsuppgifter kopplade till ConnectWise Cloud Backup, tidigare känt som SkyKick.
ConnectWise levererar IT-hanterings- och säkerhetslösningar som bland annat används av Managed Service Providers, MSP-företag.
Sådana leverantörer hanterar ofta IT-tjänster åt flera företagskunder och behöver därför omfattande behörigheter i kundernas system.
När en applikation med dessa behörigheter komprometteras kan konsekvenserna sträcka sig långt utanför den ursprungliga leverantörens miljö.
I det aktuella fallet kunde angriparna använda komprometterade applikationsidentiteter för att försöka autentisera sig mot Microsoft 365-miljöer där applikationerna redan hade fått åtkomst.
Det gjorde det möjligt att genomföra aktiviteter utan att behöva logga in som en vanlig användare.
Enligt Microsoft kunde angriparna i vissa miljöer även använda Microsoft Graph för att kartlägga resurser, ändra applikationsuppgifter och försöka utöka sina behörigheter.
Angriparna försökte skapa långvarig åtkomst
En av de allvarligare aspekterna i Microsofts rapport är att angriparna inte enbart försökte få tillfällig åtkomst.
I flera miljöer identifierades aktiviteter som syftade till att skapa möjligheter att återkomma senare.
Det kunde bland annat handla om att lägga till nya autentiseringsuppgifter i befintliga applikationer eller ändra privilegierade roller.
Sådana förändringar kan innebära att angripare behåller åtkomst även efter att den ursprungliga komprometterade applikationen har stängts av.
Det är därför inte alltid tillräckligt att enbart återkalla en leverantörs åtkomst.
Organisationer kan också behöva undersöka om obehöriga ändringar har genomförts i deras egna molnmiljöer.
Microsoft framhåller att framgångsrik autentisering inte automatiskt innebär att kundinformation har lästs eller stulits.
ConnectWise har stängt av berörda tjänster
ConnectWise bekräftade den 16 oktober att företaget undersökte obehörig åtkomst kopplad till Cloud Backup.
Som en säkerhetsåtgärd stängdes berörda applikationsanslutningar av.
Även tjänsterna SaaS Security och Cloud Management har påverkats av avstängningarna.
I en uppdatering den 22 oktober meddelar ConnectWise att återställningen av tjänsterna har påbörjats stegvis.
Arbetet väntas ta flera dagar och varje återställningssteg genomgår säkerhetskontroller.
Företaget uppger att befintliga säkerhetskopior fortfarande är krypterade och isolerade och att det inte finns några indikationer på att dessa arkiv har komprometterats.
Det innebär däremot inte att alla kunders Microsoft 365-miljöer automatiskt kan betraktas som säkra.
ConnectWise betonar att varje berörd kundmiljö behöver granskas separat för att upptäcka eventuella obehöriga ändringar eller kvarvarande åtkomstmöjligheter.
MSP-företag behöver kontrollera sina Microsoft 365-miljöer
Attacken är särskilt relevant för MSP-företag och andra IT-leverantörer som administrerar flera kundmiljöer.
När en extern applikation får omfattande behörigheter kan den bli en attraktiv måltavla för angripare.
Microsoft rekommenderar därför att organisationer undersöker både nuvarande och tidigare installationer av de berörda ConnectWise-applikationerna.
Det gäller även miljöer där integrationen inte längre används aktivt.
Säkerhetsarbetet bör enligt Microsoft omfatta:
- Granskning av inloggningshistorik för applikationsidentiteter i Microsoft Entra.
- Kontroll av oväntade ändringar i applikationsbehörigheter och administratörsroller.
- Undersökning av misstänkt aktivitet via Microsoft Graph.
- Granskning av åtkomst till e-post, filer och andra Microsoft 365-resurser.
- Bevarande av relevanta säkerhetsloggar inför eventuell incidentutredning.
- Kontroll av att obehöriga autentiseringsuppgifter och behörigheter har tagits bort.
Microsoft och ConnectWise rekommenderar också att berörda applikationsanslutningar förblir avstängda tills ConnectWise har lämnat formella instruktioner för återanslutning.
AI förändrar förutsättningarna för cybersäkerhet
Microsofts undersökning visar hur AI kan användas för att förstärka redan etablerade angreppsmetoder.
Lösenordsattacker, kartläggning av nätverk och missbruk av applikationsbehörigheter är inte nya företeelser.
Det nya är hur snabbt och omfattande dessa aktiviteter kan genomföras när flera AI-agenter arbetar automatiserat.
För organisationer innebär utvecklingen att traditionella säkerhetsrutiner kan behöva kompletteras med bättre övervakning av applikationsidentiteter, behörigheter och automatiserade aktiviteter.
Det gäller inte minst företag som använder många molntjänster och externa IT-leverantörer.
Enligt Microsoft visar attackkampanjen att angripare kan kombinera AI med redan etablerade förtroenderelationer mellan IT-leverantörer och deras kunder.
Resultatet blir en hotbild där en komprometterad integration kan skapa risker för ett stort antal organisationer samtidigt.
För den nordiska MSP-marknaden är händelsen en påminnelse om vikten av att kontrollera inte bara användarkonton, utan även de applikationer och tjänster som har tillgång till kundernas IT-miljöer.
