Storm-0940 Dùng AI ARTEX Thử Đăng Nhập 2.250 Tenant Microsoft 365 Qua App ConnectWise

Ngày 21/10/2026 Microsoft nói nhóm Storm-0940 dùng khung tác tử AI mã nguồn mở ARTEX để thử đăng nhập hơn 2.250 tenant Microsoft 365 bằng thông tin xác thực ứng dụng ConnectWise Cloud Backup. Con số 151.000 lần đăng nhập thất bại thuộc một chiến dịch dò mật khẩu khác (327 tài khoản, 8 tổ chức, không

Ngày 21/10/2026, Microsoft công bố rằng nhóm Storm-0940, mà hãng xếp là "liên kết với nhà nước Trung Quốc", đã dùng ARTEX, một khung kiểm thử xâm nhập mã nguồn mở chạy bằng tác tử AI, để thử đăng nhập vào hơn 2.250 tenant Microsoft 365 bằng thông tin đăng nhập của ứng dụng ConnectWise Cloud Backup. Bản tổng hợp tin hay gộp thành "tấn công 2.250 tenant, 151.000 lần đăng nhập hỏng". Bài gốc của Microsoft tách hai chiến dịch khác nhau, và không có số tenant bị xâm nhập thành công.

Chuyện gì đã xảy ra, theo Microsoft và ConnectWise

ConnectWise đăng cảnh báo lần đầu ngày 16/10/2026 (17:47 UTC): hãng phát hiện truy cập trái phép vào thông tin xác thực ứng dụng của Cloud Backup, dịch vụ trước đây mang tên SkyKick, rồi tạm dừng dịch vụ. Đến bản cập nhật 22/10 lúc 13:00 UTC, ConnectWise nói đang khôi phục theo từng giai đoạn, kho lưu trữ sao lưu "mã hoá, cô lập và được giữ nguyên, không có dấu hiệu bị xâm phạm", và khuyến cáo các đối tác giữ nguyên trạng thái tắt kết nối cho tới khi có hướng dẫn chính thức. Hãng cũng nói việc cô lập ứng dụng "không xoá được truy cập trái phép có thể đã được thiết lập bên trong từng tenant khách hàng", vốn phải được rà soát riêng.

Bản cập nhật 21/10 lúc 22:00 UTC của ConnectWise viết rằng, dựa trên bằng chứng hiện có, trong đó có thông tin tình báo do Microsoft chia sẻ, "có vẻ" một nhóm liên kết với nhà nước Trung Quốc chịu trách nhiệm và đã dùng một khung tác tử AI công khai để tự động hoá và tăng tốc. Cùng ngày, Microsoft đăng bài phân tích dài: Storm-0940 hoạt động từ 2021, vốn quen dò mật khẩu hàng loạt và thêm thông tin xác thực vào các ứng dụng OAuth để duy trì truy cập, và từ "sớm nhất là tháng 9/2026" dùng ARTEX nhắm hàng trăm tổ chức ở nhiều ngành (hàng không vũ trụ và quốc phòng, ô tô, hoá chất, năng lượng, tài chính, chính phủ, pháp lý, sản xuất, truyền thông, bán dẫn, phần mềm, tổ chức phi lợi nhuận). Theo Microsoft, "phần lớn các lần nhắm mục tiêu không thành công", nhưng một số đã dẫn tới quyền truy cập cao vào hạ tầng đám mây, trong đó có nhiều trường hợp chưa đầy 3 giờ từ lúc nhắm tới lúc có quyền đặc quyền.

Hai chiến dịch, hai bộ số liệu

Điểm cần đọc kỹ là các con số không thuộc cùng một chiến dịch. Locaith xếp chúng theo cách bài gốc mô tả:

Dò mật khẩu 10–14/10 Đăng nhập bằng ứng dụng ConnectWise từ 15/10
Mục tiêu327 tài khoản ở 8 tổ chứcHơn 2.250 tenant đã cài ứng dụng
Con số lớnHơn 151.000 lần đăng nhập thất bại; đỉnh 2.900 lần thất bại mỗi phút ngày 11/10; hơn 111.000 trong một ngày"Hơn 2.250 tenant, 2.900 lần thử mỗi phút" (văn bản); "2.250+ tenant được tiếp cận bằng đăng nhập app-only" (hình)
Kết quả đo đượcKhông có đăng nhập thành công, không cấp token, không gọi Graph, không đổi thư mục (theo Microsoft)Nhiều môi trường có hoạt động theo sau qua Microsoft Graph: thăm dò, đổi thông tin xác thực ứng dụng, thử đổi quyền
Bằng chứng nối hai chiến dịch144.172.64.99 chạy đợt dò mật khẩuCùng dải 144.172.64.x; một IP trong cảnh báo ConnectWise 16/10 trùng đúng 144.172.64.99
Hình tổng hợp của Microsoft: hơn 2.250 tenant, 327 tài khoản ở 8 tổ chức, hơn 151.000 lần đăng nhập thất bại, 2.900 lần thử mỗi phút, hơn 200 lần đăng nhập trong chưa đầy 4 phút bằng 4 thông tin xác thực ứng dụng
Hình "ARTEX at work" trong bài của Microsoft đặt các con số của hai chiến dịch cạnh nhau, dễ khiến người đọc gộp chúng. Ảnh: Microsoft Security Blog.

Hai lưu ý nhỏ khi đối chiếu bài gốc. Một: văn bản nói ARTEX "thử đăng nhập" (attempt to sign-in) vào hơn 2.250 tenant, còn hình ghi 2.250+ tenant "được tiếp cận bằng đăng nhập app-only"; bài không cho biết bao nhiêu trong số đó đăng nhập thành công. Hai: bài hướng dẫn "kiểm kê cả bốn ID ứng dụng", và hình ghi "4 thông tin xác thực ứng dụng", nhưng các truy vấn mẫu chỉ liệt kê ba ID (ConnectWise Cloud Backup, ConnectWise – MS Teams, ConnectWise – MS Graph). Locaith không tìm thấy ID thứ tư trong văn bản trang.

Vì sao MFA không cản được

Theo bài điều tra của hãng bảo mật Todyl, ứng dụng Cloud Backup là một ứng dụng đa tenant hợp lệ: khi một tổ chức bật dịch vụ, quản trị viên cấp cho nó quyền ở dạng "application permissions" để đọc dữ liệu mà không cần người dùng đăng nhập. Ứng dụng chứng minh danh tính bằng một khoá bí mật hoặc chứng chỉ do nhà cung cấp giữ, và cùng một thông tin xác thực đó dùng được ở mọi tenant đã đồng ý. Kẻ tấn công cầm thông tin xác thực này, trình lên Microsoft Entra ID theo luồng "client credentials" và nhận token chỉ dành cho ứng dụng; không có người dùng nào đăng nhập, nên các biện pháp hướng người dùng như MFA không có chỗ để áp dụng (Todyl, BleepingComputer). Quyền sẵn có của ứng dụng là thứ kẻ tấn công thừa hưởng; theo BleepingComputer, Microsoft Threat Intelligence đánh giá kẻ tấn công nhiều khả năng đã lạm dụng các quyền đó, trong đó có Directory.ReadWrite.All.

Mức xâm nhập: ba nguồn, ba bức tranh

Ba nguồn không mâu thuẫn mà nhìn vào ba tập khách hàng khác nhau. Điều chưa ai công bố là tổng số tổ chức bị xâm nhập thành công, và bao nhiêu trong số đó có dữ liệu bị đọc hay lấy đi.

"AI" ở đây đóng góp gì?

Microsoft mô tả ARTEX là khung mã nguồn mở, "dùng được với bất kỳ mô hình AI nào", gồm nhiều tác tử LLM viết bằng Go với giao diện Next.js, chạy một cuộc kiểm thử xâm nhập tự động từ thăm dò tới lấy dữ liệu ra, và tích luỹ tài sản cùng lỗ hổng tìm thấy vào một đồ thị. Hãng nói điểm khác biệt là tốc độ: các thao tác lạm dụng ứng dụng OAuth vốn là chiêu quen thuộc của Storm-0940 nay chạy "ở tốc độ máy", để lại rất ít thời gian cho bên phòng thủ. Đây là nhận định của Microsoft; bài không đưa ra số đo so sánh với tốc độ của người, và chưa có đánh giá độc lập nào về phần đóng góp của AI. ARTEX từng xuất hiện trong bài của Locaith ngày 6/10 về vụ lộ dữ liệu ở bảy tổ chức tài chính Hàn Quốc; Microsoft nay nói đã thấy các nhóm ở nhiều khu vực dùng cùng khung này.

Việc doanh nghiệp Việt Nam nên làm

Locaith không tìm thấy số liệu về tổ chức Việt Nam bị ảnh hưởng, nên không khẳng định có hay không. Nhưng cơ chế rủi ro áp dụng cho bất kỳ doanh nghiệp nào dùng Microsoft 365 cùng ứng dụng bên thứ ba (sao lưu, quản trị, di chuyển email) được cấp quyền rộng, đặc biệt qua một nhà cung cấp dịch vụ quản lý (MSP). Dựa trên khuyến nghị của Microsoft và ConnectWise:

Đọc con số này thế nào

Mọi số liệu về chiến dịch (2.250 tenant, 327 tài khoản, 151.000 lần thất bại, 2.900 lần mỗi phút, "dưới 3 giờ") là do Microsoft tự công bố từ dữ liệu của hãng, chưa có kiểm chứng độc lập. Số 162 tenant là của Huntress, chỉ cho môi trường Huntress giám sát. Kết luận "liên kết với nhà nước Trung Quốc" là đánh giá của Microsoft; ConnectWise dùng cách nói "có vẻ".

Giới hạn của bài này

Locaith đọc ngày 23/10/2026 bài của Microsoft (21/10), trang cảnh báo của ConnectWise (cập nhật tới 22/10 13:00 UTC), bài của Todyl, và bài của BleepingComputer (17/10). Locaith chưa đọc bài gốc của Huntress, nên các số của Huntress đi qua BleepingComputer. Locaith không kiểm được log tenant nào. Bản tổng hợp tin Locaith dùng để dò đề tài ghi bài Microsoft ngày 22/10; trang gốc ghi 21/10.

Nguồn:

Locaith đọc trực tiếp các nguồn trên ngày 23/10/2026. Ảnh bìa là hình minh hoạ chung của Microsoft Security Blog (không phải ảnh sự kiện); hình trong bài do Microsoft đăng. Ban Biên Tập Locaith biên soạn và phân tích ngày 23/10/2026.

Messenger