ARTEX: agentes de IA atacaram 2.250 contas Microsoft 365 — o que muda (2026)

Em 21 de outubro de 2026, a Microsoft publicou um alerta sobre uma campanha que viralizou nas redes: hackers ligados à China teriam usado inteligência artificial para atacar em escala. É verdade — mas o detalhe importante se perde no barulho. O grupo Storm-0940 usou um framework de agentes de IA chamado ARTEX para tentar invadir mais de 2.250 ambientes do Microsoft 365. A IA, porém, não descobriu uma falha mágica: ela fez trabalho comum de atacante, muito rápido e em larga escala. E a porta de entrada foi algo que toda empresa tem — uma integração de terceiro. Este post explica o que aconteceu, por que o MFA não barrou, o que realmente mudou e o que fazer.

O que aconteceu

A Microsoft Threat Intelligence atribuiu a campanha ao Storm-0940, um ator que ela classifica como alinhado ao Estado chinês, ativo desde 2021 e com histórico de password spraying e abuso de aplicações expostas. Desde o começo de setembro de 2026, o grupo passou a usar o ARTEX para automatizar ataques contra centenas de organizações — de aeroespacial e defesa a energia, finanças, governo e semicondutores.

O caso que ganhou as manchetes envolveu a ConnectWise, fornecedora de ferramentas de gestão de TI usada por milhares de empresas e provedores de serviço (MSPs). A Microsoft avalia que o Storm-0940 comprometeu aplicações em nuvem da ConnectWise e, a partir daí, usou o ARTEX para tentar autenticar em mais de 2.250 tenants do Microsoft 365, a um ritmo de mais de 2.900 tentativas por minuto. Em alguns casos, foram mais de 200 logins em menos de 4 minutos usando apenas 4 credenciais de aplicação. A ConnectWise suspendeu serviços como Cloud Backup, SaaS Security e Cloud Management, e publicou avisos a partir de 16 de outubro.

O que é o ARTEX

O ARTEX é um framework open-source de teste de intrusão conduzido por múltiplos agentes de IA. Tecnicamente, é um sistema multiagente escrito em Go com interface em Next.js, que funciona com qualquer modelo de IA. Seus agentes rodam um pentest de forma praticamente autônoma — do reconhecimento à exfiltração de dados — e registram o que encontram (ativos, vulnerabilidades) em um grafo. A interface vem em inglês, com opção de coreano, mandarim, espanhol e japonês.

É importante entender o que isso não é: o ARTEX não é um malware que explora uma falha desconhecida. Ele é um orquestrador — pega as tarefas que um atacante humano faria (varrer, tentar senhas, abusar de permissões de aplicativos) e as executa em loop, sozinho, na velocidade de uma máquina. A novidade não é a técnica; é a escala e o custo. O que antes exigia uma equipe e semanas, um agente faz contra milhares de alvos em minutos.

Como o ataque funcionou

A cadeia tem dois caminhos que vale separar, porque um falhou e o outro foi o que deu resultado:

O caminho que falhou: password spray

Entre 10 e 14 de outubro, houve uma onda de password spraying (tentar poucas senhas comuns contra muitas contas) a partir de um único IP, contra 327 contas em 8 organizações — mais de 151 mil tentativas de login falhas, com pico de 2.900 por minuto. Quase tudo resultou em bloqueio de conta, e a Microsoft diz que nenhuma autenticação teve sucesso nesse ataque. Ou seja: a parte barulhenta e “força bruta” não funcionou.

O caminho que funcionou: credencial de aplicação roubada

O estrago veio por outro lado. Com credenciais de aplicação roubadas da ConnectWise, os agentes autenticaram nos tenants dos clientes através de aplicativos que já tinham acesso autorizado — sem nenhum login interativo de usuário. Uma vez dentro, em alguns ambientes os agentes avançaram para o Microsoft Graph e para operações de diretório: reconhecimento, troca de credenciais do aplicativo para manter persistência, e alterações em identidades, grupos e papéis privilegiados. A Microsoft relata até um aplicativo de gestão da ConnectWise se autoatribuindo o papel de Administrador Global, e leituras em massa de segredos em cofres de chaves (Key Vault). Em alguns casos, o acesso privilegiado veio em menos de 3 horas do primeiro contato.

Um ponto cruel: como a persistência foi feita trocando as credenciais do próprio aplicativo, o atacante consegue manter acesso mesmo depois de o app comprometido ser “consertado”.

Por que o MFA não salvou

Essa é a parte que mais importa para quem toma decisão. O MFA (segundo fator) e as políticas de acesso condicional protegem o login de pessoas. Mas esse ataque não passou por login de pessoa nenhuma: foi máquina-a-máquina, usando a identidade de um aplicativo (uma credencial de aplicação / service principal) que já estava autorizado no ambiente. O MFA do usuário simplesmente não está nesse caminho.

É o ponto cego de quase toda empresa moderna: você protegeu os logins das pessoas, mas tem dezenas de aplicativos conectados — ferramentas de produtividade, integrações, SaaS de terceiros — cada um com uma identidade de máquina e um conjunto de permissões que ninguém revisa. Essas identidades de aplicação viraram a nova porta dos fundos, e o MFA não cobre essa porta.

O que mudou de verdade — e o que não mudou

O que mudou: a velocidade e o custo do ataque despencaram. Um agente de IA faz o trabalho tedioso e repetitivo (enumerar, tentar, correlacionar, pivotar) sem cansar, em paralelo, contra milhares de alvos. Isso muda a economia do crime: compensa atacar em massa, não só alvos grandes. Também encurta a janela de defesa — se o acesso privilegiado chega em 3 horas, a sua detecção e resposta precisam ser em minutos, não em dias.

O que não mudou: as portas de entrada são as mesmas de sempre. Credencial roubada, aplicativo de terceiro comprometido, permissão de OAuth exagerada, falha conhecida sem correção. A IA não trouxe uma vulnerabilidade nova — ela só explorou mais rápido as que já existem. Por isso o básico bem-feito continua sendo a melhor defesa, e os fundamentos (gestão de acesso, menor privilégio, patch em dia) valem mais, não menos.

Isso vale para mim, mesmo sem ser alvo da China?

Vale — e por um motivo simples: toda empresa que usa SaaS tem aplicativos conectados e identidades de máquina. Você não precisa ser o alvo final para ser o caminho. Foi exatamente assim aqui: a China não atacou “a Microsoft” diretamente — atacou um fornecedor (ConnectWise) e, por ele, chegou a milhares de clientes. É o ataque de cadeia de suprimento clássico, agora com um agente de IA acelerando cada passo. Se a sua empresa integra ferramentas via OAuth (e praticamente todas integram), você tem a mesma superfície.

O que fazer agora

1. Inventarie seus aplicativos conectados. No Microsoft 365 / Entra, liste os service principals e aplicativos empresariais, quem consentiu, quais permissões cada um tem e quando foi usado pela última vez. Você provavelmente vai se surpreender.
2. Aplique o menor privilégio. Corte permissões amplas (acesso total a e-mail, arquivos, diretório) que o app não precisa de verdade. Revise consentimentos antigos.
3. Trate integração de fornecedor como conta privilegiada. Monitore atividade “só de aplicação” (sem usuário), rotacione credenciais de aplicação periodicamente e tenha um processo testado para revogar acesso de um fornecedor rápido.
4. Monitore o que a identidade faz, não quem está por trás. Um alerta deve disparar por comportamento anômalo (login de app seguido de mudança de permissão, criação de credencial, autoatribuição de papel), seja uma pessoa ou um agente de IA.
5. Se você usa ConnectWise: siga o aviso oficial, mantenha as conexões afetadas desativadas até a orientação de restauração, e procure nos logs pelos IDs dos aplicativos afetados (não pelo nome de exibição), revisando a atividade desde 15 de outubro.
6. Encurte a resposta. Com acesso privilegiado chegando em horas, automatize a contenção em limiares definidos (e revise depois), em vez de depender de alguém olhando o painel na hora certa.

O lado defensivo da mesma tecnologia

A leitura cínica seria “a IA agora hackeia sozinha”. A leitura útil é outra: a mesma tecnologia que acelera o atacante acelera a defesa — desde que conduzida por quem entende o que está procurando. No pentest, a IA é ferramenta de produtividade do pesquisador (varrer, correlacionar, gerar hipóteses); quem decide o que é risco real, encadeia as falhas e prova o impacto continua sendo a pessoa. O que esse ataque deixa claro é que testar a sua superfície do jeito que um adversário real testaria — incluindo as integrações, os consentimentos de OAuth e as identidades de máquina — deixou de ser luxo.

Se você quer entender onde a sua empresa está exposta a esse tipo de ataque, fale com um pesquisador. E, de forma mais ampla, um pentest periódico encontra as portas abertas — inclusive as de aplicação — antes que um agente de IA ache por você.

Fontes: Microsoft Threat Intelligence (aviso oficial), SecurityWeek, The Record e CSO Online. A atribuição é da Microsoft (“ator alinhado ao Estado chinês”) e a China nega o envolvimento. Os números são da Microsoft e podem ser revisados conforme a investigação avança.