ARTEX, una herramienta de hackeo que ejecuta sus ataques con agentes de IA, ya está al alcance de cualquier atacante: el 5 de noviembre de 2026 Censys contó más de 1,465 servidores expuestos en internet que la ejecutan, y un grupo vinculado a China ya la usó en una campaña para adivinar contraseñas que alcanzó un pico de 2,900 intentos de inicio de sesión por minuto. La protección más barata y rápida es la autenticación de dos factores: un estudio de Microsoft halló que reduce el riesgo de compromiso de una cuenta un 99.22 %. Haga tres cosas esta semana: haga obligatoria la autenticación de dos factores en todas las cuentas de correo y de administración, desactive los protocolos de correo heredados y pida un informe de quién no se ha inscrito todavía. Si su empresa conecta aplicaciones externas a Microsoft 365, lea también nuestro artículo sobre la brecha de ConnectWise, porque esa brecha no se cierra solo con la autenticación de dos factores.
¿Qué es ARTEX y por qué debería importarle?
ARTEX es un marco de código abierto para pruebas de penetración automatizadas que su desarrollador publicó en GitHub el 26 de julio de 2026. Según el informe de Censys publicado el 5 de noviembre de 2026, un agente de IA planifica el ataque y lo divide en tareas, otros agentes ejecutan las herramientas de escaneo e informan, y el ciclo se repite hasta alcanzar el objetivo. Microsoft lo describe como capaz de llevar un ataque desde el reconocimiento hasta el robo de datos con poca intervención humana.
Cuando salió a la luz su uso en ataques reales, el desarrollador anunció que pasaría a código cerrado y retiró el repositorio, pero siguen circulando copias archivadas y versiones renombradas. Censys contó unas 815 implementaciones independientes tras descartar los servidores configurados de forma idéntica, entre ellas 726 servidores en Estados Unidos, 387 en Hong Kong y 177 en China. En la práctica, lo que antes requería un equipo de atacantes ahora requiere una persona y una herramienta gratuita.
¿Qué hicieron realmente los atacantes con ella?
En su informe publicado el 21 de octubre de 2026, Microsoft documentó una campaña del grupo al que sigue como Storm-0940, que usó ARTEX para adivinar contraseñas automáticamente entre el 10 y el 14 de octubre:
- 327 cuentas de 8 organizaciones sufrieron rociado de contraseñas, es decir, probar contraseñas comunes en muchas cuentas.
- Más de 151,000 inicios de sesión fallidos, más de 111,000 de ellos en un solo día, con un pico de 2,900 intentos por minuto el 11 de octubre.
- 48 cuentas recibieron cada una más de 1,000 intentos fallidos.
- En otros ataques del mismo grupo pasaron menos de 3 horas entre el primer objetivo y el acceso con privilegios a la infraestructura en la nube.
Microsoft afirma que no observó ningún inicio de sesión exitoso de esa campaña concreta, porque los bloqueos de cuentas absorbieron la mayor parte. Pero TechCrunch resumió el 6 de noviembre que muchos de estos ataques aprovecharon debilidades simples: contraseñas débiles o conocidas y la ausencia de autenticación multifactor.
Por qué una contraseña sola ya no basta
No basta. Una máquina no se cansa ni duerme, y cualquier cuenta con una contraseña reutilizada o filtrada antes será probada tarde o temprano. La autenticación de dos factores añade un segundo factor que el atacante no tiene: un código en una aplicación del teléfono del empleado, una llave de seguridad o una llave de acceso. Investigadores de Microsoft analizaron cuentas reales con actividad sospechosa y encontraron, en su estudio publicado, que la autenticación de dos factores reduce el riesgo de compromiso un 99.22 %, y un 98.56 % incluso cuando la contraseña ya se ha filtrado. También vieron que las aplicaciones de autenticación superan a los códigos por SMS, aunque ambos son mucho mejores que nada.
Una advertencia importante de la documentación de Microsoft: los protocolos de correo heredados como IMAP, POP3 y SMTP no admiten la autenticación de dos factores, así que un atacante puede iniciar sesión a través de ellos y saltarse toda la protección. Activarla no está completo hasta que se desactivan.
¿Qué dicen los controles de la Autoridad Nacional de Ciberseguridad?
Los Controles Esenciales de Ciberseguridad ECC-2:2024 emitidos por la Autoridad Nacional de Ciberseguridad (NCA) de Arabia Saudí exigen la autenticación multifactor en al menos tres puntos:
- Control 2-2-3-2: para el acceso remoto y para las cuentas con privilegios.
- Control 2-4-3-2: para el acceso remoto y por webmail al correo electrónico.
- Control 2-15-3-5: para el acceso de los usuarios a las aplicaciones web externas.
Los controles son obligatorios para las entidades gubernamentales, sus empresas afiliadas y las entidades privadas que poseen, operan o alojan infraestructuras nacionales críticas, y la Autoridad anima encarecidamente a todas las demás entidades del Reino a usarlos. Si presta servicios a una entidad gubernamental, espere que le pregunten por ellos en las evaluaciones de proveedores.
Pasos para activarla esta semana
- Microsoft 365: en el centro de administración de Microsoft Entra abra Entra ID, luego Overview, luego Properties, luego Manage security defaults, y actívelos. Los valores predeterminados de seguridad son gratuitos, no necesitan licencia adicional, imponen la autenticación de dos factores a los administradores y bloquean los protocolos heredados. Microsoft recomienda dos cuentas de administración de emergencia no vinculadas a ningún empleado concreto para no quedarse nunca fuera.
- Google Workspace: en Menu, luego Security, luego Authentication, luego 2-step verification, permita primero que el personal se inscriba y después impóngala a partir de una fecha fijada. Google permite un periodo de inscripción para nuevos usuarios de 1 día a 6 meses, y puede exigir llaves de seguridad o llaves de acceso a dirección y finanzas.
- Prioridad: empiece por las cuentas de administración, finanzas y correo, luego el resto del personal y después otros sistemas como su sistema contable, su tienda en línea y sus paneles de alojamiento.
- Seguimiento: pida un informe semanal de quién no se ha inscrito y no haga excepciones salvo temporales y con un motivo por escrito.
La visión de Origami
Lo que ha cambiado no es el tipo de ataque, porque adivinar contraseñas es antiguo, sino su coste: ahora es automático, barato y está al alcance de cualquiera. Una empresa cuyo correo y sistema contable aún se abren solo con una contraseña está apostando a que el atacante nunca llegará, y esa apuesta se pierde con el tiempo.
Por eso cada sistema que entrega Origami está construido para que el inicio de sesión pase por al menos dos factores, vinculado al inicio de sesión único cuando la empresa ya tiene una cuenta de Microsoft o Google, como explicamos en nuestro artículo sobre autenticación segura y SSO. Si quiere revisar cómo inicia sesión su equipo en sus sistemas, o vincularlos a una única cuenta protegida, póngase en contacto.
Conclusión
Una herramienta de ataque con IA gratuita prueba ahora miles de contraseñas por minuto sin cansarse. La autenticación de dos factores, junto con la desactivación de los protocolos heredados, cierra la mayor parte de esa puerta, y se puede activar en Microsoft 365 y Google en pocos días sin coste adicional. Empiece hoy por dirección y finanzas, y no espere a que su cuenta aparezca en la lista de víctimas del próximo informe.
Fuentes
- Microsoft Security Blog: Storm-0940 uses ARTEX in ConnectWise supply chain compromise, 21 de octubre de 2026
- Censys: informe sobre ARTEX y servidores expuestos, 5 de noviembre de 2026
- Autoridad Nacional de Ciberseguridad (NCA): Essential Cybersecurity Controls ECC-2:2024
- Microsoft Research: How effective is multifactor authentication at deterring cyberattacks?
- Microsoft Learn: Configure security defaults for Microsoft Entra ID
- Google Workspace: Deploy 2-Step Verification
- TechCrunch: Hundreds of ARTEX AI hacking tools found publicly exposed to the web, 6 de noviembre de 2026
Preguntas frecuentes
¿Qué diferencia hay entre la autenticación de dos factores y la verificación en dos pasos?
Son prácticamente lo mismo: Google la llama verificación en dos pasos y Microsoft autenticación multifactor. La idea es idéntica: la contraseña no basta y se exige un segundo factor, como un código de una aplicación o una llave de seguridad.
¿Bastan los códigos por SMS o necesitamos una aplicación de autenticación?
El SMS es mucho mejor que nada, pero el estudio de Microsoft concluyó que las aplicaciones de autenticación son más sólidas. Use una aplicación para todo el personal y llaves de seguridad o llaves de acceso para las cuentas de administración y finanzas cuando sea posible.
¿La autenticación de dos factores en Microsoft 365 requiere una licencia de pago?
No. Los valores predeterminados de seguridad de Microsoft Entra son gratuitos para todos los inquilinos, imponen la autenticación de dos factores y bloquean los protocolos heredados. Solo hace falta una licencia de pago si quiere directivas de acceso condicional personalizadas.
¿Es obligatoria la autenticación de dos factores en Arabia Saudí?
Los Controles Esenciales de Ciberseguridad ECC-2:2024 la exigen para el acceso remoto, las cuentas con privilegios y el correo. Obligan a las entidades gubernamentales y a los operadores de infraestructuras críticas, y la Autoridad Nacional de Ciberseguridad (NCA) anima encarecidamente a las demás empresas a aplicarlos.
