Microsoft, ConnectWise Saldırısını Storm-0940 ve ARTEX Yapay Zekâ Çerçevesine Bağladı

Microsoft Threat Intelligence, 21 Ekim 2026 tarihli güvenlik blog yazısında, kısa süre önce açıklanan ConnectWise Cloud Backup tedarik zinciri ihlalinden Storm-0940 adlı grubun sorumlu olduğunu değerlendirdiğini ve grubun, herhangi bir yapay zekâ modeliyle çalışabilen açık kaynaklı ARTEX penetrasyon testi çerçevesini saldırıları otomatikleştirmek için kullandığını bildirdi.

Bu sayfa Microsoft Security blogundaki 21 Ekim 2026 tarihli yazıya dayanır. Gruba ilişkin tüm nitelemeler Microsoft'un kendi değerlendirmesidir; resmî bir savcılık, mahkeme ya da devlet açıklaması değildir ve kesin hüküm olarak sunulmamıştır. Haber sitelerinden bilgi aktarılmamıştır. Sayfa yalnızca savunma amaçlı bilgi verir.

Künye

Microsoft Ne Açıkladı?

Microsoft'un değerlendirmesine göre Storm-0940, Çin devletiyle uyumlu hareket eden ve 2021'den beri etkin olan, veri hırsızlığına odaklı bir grup; bilinen bir sektör takma adı yok. Yazı, ConnectWise'ın 16 Ekim 2026'da duyurduğu Cloud Backup ihlalinden bu grubun sorumlu olduğunu "değerlendirdiğini" söylüyor. Bu bir değerlendirmedir; kesin yargı ya da resmî bir atıf değildir.

ConnectWise Cloud Backup tarafında ele geçirilen çok kiracılı uygulamaların, etkileşimli kullanıcı girişi olmadan müşteri ortamlarına erişmek için kullanıldığı belirtiliyor. Bazı ortamlarda Microsoft Graph keşfi, uygulama kimlik bilgisi değişiklikleri ve ayrıcalık değişiklikleri görüldüğü yazıyor.

ARTEX Nedir?

Yazıya göre ARTEX, herhangi bir yapay zekâ modeliyle kullanılabilen, açık kaynaklı bir penetrasyon testi çerçevesi. Go dilinde yazılmış, çok ajanlı bir büyük dil modeli sistemi olarak anlatılıyor ve keşiften veri çıkarmaya kadar özerk bir sızma testi yürütebildiği söyleniyor. ARTEX bir Microsoft aracı değildir; Microsoft'un anlattığı gruba göre saldırganların kullandığı açık kaynaklı bir çerçevedir.

Rakamlarda Dikkat

Yazıdaki iki ifade sıkça birleştirilerek aktarılıyor, oysa ayrı ayrı yazılmalı. Birincisi, ARTEX'in dünya genelinde yüzlerce kuruluşa yönelik saldırıyı otomatikleştirmek için kullanıldığı ve etkinliğin en erken Eylül 2026'da başladığı; "Eylül'den beri yüzlerce hedef" birebir yazıda yok. İkincisi, birden fazla olayda ilk hedeflemeden ayrıcalıklı erişime geçen sürenin üç saatten kısa olduğu; bu, tüm olaylar için geçerli genel bir süre değil, birden fazla olay için verilmiş bir ifadedir.

ConnectWise kampanyasında ARTEX ile 2.250'den fazla kiracıya oturum açma denemesi yapıldığı ayrıca belirtiliyor. 10-14 Ekim 2026 tarihli bir parola püskürtme etkinliğinde ise 8 kuruluşta 327 hesap ve 151.000'den fazla başarısız oturum açma olayı sayılıyor. Bu iki rakam farklı ölçümlerdir.

Önerilen Önlemler

Microsoft, etkilenen ConnectWise uygulama bağlantılarının ConnectWise'ın resmî geri yükleme talimatına kadar devre dışı bırakılmasını, kurumsal uygulamaların ilk adım olarak silinmeyip önce kanıtın korunmasını, yazıda listelenen uygulama kimliklerinin görünen ada göre değil kimliğe göre envanterlenmesini ve Entra, Purview ile SIEM kayıtlarının saklanmasını öneriyor. İncelemenin en az 15 Ekim 2026'dan itibaren yapılması, servis sorumlusu oturum açmalarında ise 1 Ekim'e kadar geriye gidilmesi tavsiye ediliyor. Yazıda Defender XDR tespitleri ve avlama sorguları da yer alıyor.

İlgili Sayfalar

Bulut platformlarındaki başka bir güvenlik bildirimi için Railway güvenlik bildirimi, yapay zekâ ajanlarının yetkilendirilmesi için Microsoft Dynamic Permissions sayfamıza bakabilirsiniz.

Bu Sayfada Ne Yok?

• Grubun kimliği, kişileri ya da bağlı olduğu kurum: Microsoft'un yazısındaki "Çin devletiyle uyumlu" nitelemesi Microsoft'un değerlendirmesi olarak aktarılmıştır; resmî bir devlet, savcılık ya da mahkeme açıklaması yoktur ve ek bir suçlama yazılmamıştır.
• Etkilenen kuruluşların adları: yazıda sayılan adlar bu sayfaya alınmamıştır.
• Türkiye'deki kuruluşların etkilenip etkilenmediği: kaynakta yoktur; USOM açıklaması doğrulanamamıştır.
• Çalınan verinin türü ve miktarı: kaynakta doğrulanmadığı için yazılmamıştır.
• Saldırı yönteminin adım adım anlatımı: yazılmamıştır; sayfa yalnızca savunma amaçlı bilgi verir.
• "Eylül'den beri yüzlerce hedef" ve genel "üç saat" kuralı: Microsoft yazısında bu biçimde olmadığı için kesin ifade olarak yazılmamıştır.
• ConnectWise'ın kendi duyurusunun içeriği: bu sayfada okunmadığı için aktarılmamıştır.

Sık Sorulan Sorular

Storm-0940 kimdir?

Microsoft'un kullandığı geçici bir ad. Microsoft grubu Çin devletiyle uyumlu, 2021'den beri etkin ve veri hırsızlığına odaklı olarak değerlendiriyor; bu değerlendirme resmî bir atıf değildir.

ARTEX nedir?

Herhangi bir yapay zekâ modeliyle çalışabilen, açık kaynaklı, çok ajanlı bir penetrasyon testi çerçevesidir. Microsoft'un aracı değildir.

Microsoft sistemleri ihlal edildi mi?

Yazıya göre olay Microsoft sistemlerinin, ürünlerinin ya da hizmetlerinin ihlalinden kaynaklanmıyor.

ConnectWise kullanıyorsam ne yapmalıyım?

Microsoft, etkilenen ConnectWise uygulama bağlantılarını ConnectWise'ın geri yükleme talimatına kadar devre dışı bırakmayı ve önce kanıtı korumayı öneriyor; ayrıntılar Microsoft'un yazısında.

Üç saatten kısa süre ne anlama geliyor?

Yazıda birden fazla olayda ilk hedeflemeden ayrıcalıklı erişime geçen sürenin üç saatten kısa olduğu söyleniyor; bu tüm olaylar için genel bir süre değildir.

Saldırı ne zaman başladı?

Microsoft etkinliğin en erken Eylül 2026'da başladığını belirtiyor. ConnectWise ihlalini 16 Ekim 2026'da duyurdu.

Kaynak ve kapsam: Microsoft Security blogunda 21 Ekim 2026'da yayımlanan, Microsoft Security Research ve Microsoft Threat Intelligence imzalı "AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise" yazısı (microsoft.com/security/blog). Grubun kimliğine ilişkin tüm nitelemeler Microsoft'un değerlendirmesidir; etkilenen kuruluşlar, Türkiye etkisi ve çalınan veri türü kaynakta doğrulanmadığı için yazılmamıştır.