微軟威脅情報指中國國家對齊組織 Storm‑0940，早在二零二六年九月起以開源代理式滲透框架 ARTEX 自動化攻擊，並評估該組織為近日 ConnectWise 多租戶應用供應鏈事件的幕後者；官方稱部分個案由鎖定目標到取得特權雲端存取少於三小時，其後以機器速度嘗試登入逾二千二百五十個 Microsoft 365 租戶。來源真實性已驗證：已核對微軟安全網誌主稿、ConnectWise Trust Center 更新及 The Register、TechCrunch 等轉述。

微軟／官方：Storm‑0940 以 ARTEX 代理式 AI 擴大 ConnectWise 供應鏈攻擊——逾二千二百五十個 Microsoft 365 租戶、每分鐘約二千九百次登入嘗試

微軟威脅情報於二零二六年十月二十一日經官方安全網誌披露，中國國家對齊威脅組織 Storm‑0940 自九月起使用開源代理式人工智能滲透測試框架 ARTEX，自動化對全球多行業組織的攻擊，並評估該組織應對 ConnectWise 多租戶雲端備份等應用身分遭濫用一事負責。來源真實性已對照微軟主稿、ConnectWise 顧問更新及獨立保安媒體核實；微軟強調有關活動並非源於其自身系統、產品或服務遭入侵。

一、事件核心：供應鏈信任被機器速度放大

技術細節

ConnectWise 早前因 Cloud Backup（前稱 SkyKick）等應用身分異常，暫停相關雲端備份、SaaS 保安與雲端管理服務，並要求合作夥伴在租戶內停用受影響應用連線。微軟今次把歸因與攻擊手法講清楚：Storm‑0940 取得多個 ConnectWise 雲端應用身分後，利用這些已獲授權的應用，無需互動式用戶登入即可嘗試進入下游客戶的 Microsoft 365 環境。

微軟寫道，攻擊者隨後以 ARTEX 把登入節奏推至「機器速度」：對逾二千二百五十個租戶發起登入嘗試，峰值約每分鐘二千九百次。部分受影響環境中，還觀察到經 Microsoft Graph 的偵察、應用程式認證資料變更，以及涉及身分、群組與特權角色的操作；微軟提醒，即使原始應用已處理，這類變更仍可能留下後門。

同一時段，微軟亦記錄到十月十日至十四日針對八間組織共三百二十七個帳戶的跨租戶密碼噴灑，捕獲逾十五萬一千次失敗登入，十月十一日單日失敗逾十一萬一千次、峰值約每分鐘二千九百次失敗；該波噴灑未見成功認證。公開指標顯示相關基礎設施與 ConnectWise 事件調查中的位址範圍有重疊。

二、技術原理：ARTEX 把滲透流程交給多代理

ARTEX 是開源滲透測試框架，以 Go 編寫、配 Next.js 前端，可接駁任意大型語言模型，組成多代理系統，幾乎可在少人干預下由偵察跑到資料外洩，並把發現的資產與弱點累積成圖。微軟指框架介面預設英文，亦可切換韓文、普通話、西班牙文或日文；十月間已有公開報道指其被用於針對韓國金融機構等事件，威脅情報亦觀察到多個地區的威脅者採用同一框架。

重點不在「AI 發明全新漏洞」，而在把既有手法——密碼噴灑、OAuth 應用濫用、供應鏈信任——壓縮到防守方難以同步應變的時間窗。微軟寫道，代理不受上下班與假日限制，可同時嘗試多條入侵路徑，令由揀目標到達成目標的時間顯著縮短；即使多數嘗試失敗，仍足以在短時間內於多個組織取得特權雲端持久性。

三、日常應用場景

1. 開發者與技術團隊

應以應用程式識別碼（而非顯示名稱）盤點租戶內是否曾授權受影響 ConnectWise 應用；檢視服務主體登入、Graph 活動、認證資料新增與特權指派。保留 Entra、Purview 與 SIEM 證據，勿一開始就刪除企業應用以致破壞取證。

2. 企業與隱私敏感行業

金融、法律、政府與製造業均在微軟列舉的目標行業之中。第三方備份與管理工具一旦擁有高權限委派，單一供應商事件可同時觸及大量租戶；應執行最小權限、行政同意工作流程，並把「應用只讀／寫入範圍」納入供應商盡職審查。

3. 一般用戶

個人帳戶較少直接安裝該類多租戶管理應用，但若公司電郵或檔案經 Microsoft 365 託管，仍可能受企業端整合影響。宜依公司資訊保安指引啟用多重要素驗證，並留意異常登入通知；有否資料外洩需以租戶調查為準，不能單憑「曾安裝應用」推斷。

4. 香港與亞洲市場視角

香港企業普遍依賴 Microsoft 365 與 MSP／備份整合。面對代理式攻擊加速供應鏈濫用，本地團隊更需把「第三方應用委派」視作與防火牆同級的控制面，並建立可在數小時內完成的應變劇本。若需在香港強化雲端遷移與網絡安全態勢，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。

四、專業評價與潛在考量

優勢

微軟公開歸因、ARTEX 技術說明、IOC、Defender 偵測與進階搜捕查詢，讓防守方可對照自身遙測，而不是只靠媒體轉述。ConnectWise 亦在 Trust Center 更新中承認據微軟情報顯示為中國國家對齊組織，並重申合作夥伴須在租戶內自行審查可能已建立的未授權存取。

需要留意的地方

微軟明確表示：出現受影響應用、甚至攻擊者成功認證，並不等於已發生未授權資料存取或外洩。數字（二千二百五十個租戶、每分鐘約二千九百次）描述的是嘗試與遙測規模，解讀時不宜直接等同「全部失陷」。應付機器速度攻擊，單靠人工跟進告警往往來不及，需要自動化圍堵與預先收緊委派。

結語

Storm‑0940 與 ARTEX 把供應鏈信任與代理式自動化綁在同一條攻擊鏈：先濫用已獲授權的多租戶應用身分，再以機器速度橫掃下游雲端。對香港與亞洲企業而言，下一步不只是停用單一供應商連線，而是把應用委派、服務主體遙測與最小權限做成可演練的制度。需要加固雲端與身分邊界時，可了解 YSK Limited 的雲端遷移與網絡安全方案：https://ysk.hk/services/cloud-security。

參考來源