El FBI alerta sobre ARTEX, una herramienta de ataque con IA: qué revisar
Una alerta del FBI del 13 de noviembre describe ARTEX, una herramienta de IA que automatiza ataques y llegó a tenants de Microsoft 365 a través de una app de copias.
El 13 de noviembre de 2026, el FBI publicó una alerta FLASH sobre ARTEX, una herramienta basada en inteligencia artificial que delincuentes y grupos respaldados por estados usan para automatizar ciberataques. Casi todo el documento está pensado para grandes equipos de seguridad, pero dos ideas afectan directamente a las pequeñas empresas: los atacantes buscan los sistemas olvidados en los márgenes de la organización, y están abusando de aplicaciones que tienen acceso a Microsoft 365. Aquí tiene un resumen claro y una lista breve de comprobaciones.
Qué dice el FBI
Según la alerta FLASH del FBI (FLASH-20261113-001), ARTEX es un framework de código abierto que se conecta a modelos de lenguaje y convierte un objetivo escrito en lenguaje normal en una serie de comandos de ataque. Se publicó en julio de 2026 como herramienta de pruebas de penetración, y el FBI indica que actores maliciosos la usan al menos desde agosto de 2026 contra organizaciones de finanzas, gobierno, salud, manufactura, servicios legales y otros sectores. Su autor retiró el proyecto en octubre, pero siguen circulando copias y versiones derivadas, y a principios de noviembre los investigadores contaron más de 1.600 consolas de ARTEX expuestas en internet.
El FBI destaca tres puntos. Algunas intrusiones pasaron del primer contacto al acceso privilegiado en menos de tres horas. La herramienta es eficaz para encontrar sistemas secundarios a los que se presta menos atención, como portales para socios, servicios antiguos e integraciones de terceros. Y reduce los conocimientos necesarios para lanzar ataques complejos, de modo que grupos pequeños pueden atacar a muchas organizaciones a la vez.
La relación con Microsoft 365
El FBI menciona un ataque a la cadena de suministro que afectó a clientes de ConnectWise Cloud Backup y que, según sus palabras, permitió el acceso a más de 2.250 tenants de clientes. El blog de seguridad de Microsoft describió esa campaña el 21 de octubre de 2026 y la atribuyó a un grupo que denomina Storm-0940. Los atacantes se hicieron con identidades de aplicaciones en la nube del servicio de copias y las usaron para entrar en entornos de Microsoft 365 de clientes como si fueran la propia aplicación, sin que ningún usuario escribiera una contraseña y sin un aviso de autenticación multifactor que los detuviera.
Esa es la lección para una empresa pequeña. Cada aplicación de terceros que usted autoriza en Microsoft 365, sea de copias de seguridad, firmas de correo, agenda o CRM, tiene una llave permanente a sus datos. Si el proveedor sufre un ataque, esa llave puede usarse contra usted.
Qué debe hacer una pequeña empresa
- Pregunte si alguna vez se usó ConnectWise Cloud Backup. Muchas empresas lo recibieron a través de su proveedor de TI sin conocer el nombre. El FBI recomienda revisar todos los tenants de Microsoft 365 donde estén o hayan estado instaladas las aplicaciones afectadas de ConnectWise, aunque ya no se usen, y mantener esas conexiones desactivadas hasta que ConnectWise dé instrucciones para restablecerlas.
- Revise sus aplicaciones empresariales. En el centro de administración de Microsoft Entra, consulte qué aplicaciones tienen acceso a su tenant, qué permisos tiene cada una y quién la aprobó. Elimine las que nadie usa, pero guarde antes los datos: el FBI desaconseja borrarlas como primera reacción porque se pueden perder pruebas.
- Impida que los empleados aprueben aplicaciones por su cuenta. Configure Microsoft 365 para que las nuevas solicitudes de consentimiento lleguen a un administrador.
- Haga una lista de lo que expone a internet. Escritorio remoto, un portal antiguo para empleados, la página de acceso de un NAS, una VPN: son los bordes que los ataques asistidos por IA examinan primero. Cierre lo que no necesite y mantenga actualizado el resto.
- Conserve los registros. Asegúrese de que los registros de inicio de sesión y de auditoría se guardan el tiempo suficiente para investigar y de que alguien revisa realmente las alertas.
El FBI pide a quien detecte actividad sospechosa que contacte con su oficina local del FBI y lo denuncie en ic3.gov.
Cómo podemos ayudarle
Nuestro equipo de ciberseguridad puede revisar las aplicaciones conectadas a su tenant de Microsoft 365 y endurecer los permisos de consentimiento, y nuestros servicios de TI administrados incluyen la vigilancia continua de los inicios de sesión. Sobre un riesgo relacionado, lea nuestro artículo sobre ataques de reutilización de tokens en Microsoft 365. Llame al (213) 986-4855.