علّقت ConnectWise بعض خدماتها السحابية استجابةً لهجوم إلكتروني، وفقًا لتقرير نشرته SecurityWeek. إن هجوم ConnectWise الإلكتروني وقرار تعليق خدماتها السحابية يتجاوزان أهمية شركة واحدة، لأن أدوات ConnectWise تُستخدم على نطاق واسع من قِبل مزوّدي الخدمات المُدارة (MSPs) والشركات الصغيرة التي يدعمونها.
هذا المقال حذر عن قصد. تؤكد المواد المصدرية المتاحة لنا الخبر الرئيسي، وهو أن ConnectWise علّقت خدماتها السحابية بعد هجوم، لكنها لا توضح السبب ولا النطاق ولا العملاء المتأثرين. لن نخمّن في تلك التفاصيل. بدلًا من ذلك، إليك ما تعنيه هذه الحالة عمليًا وكيف تحصل على إجابات من الأشخاص الذين يديرون تقنية المعلومات لديك.
ما أكدته ConnectWise حتى الآن
جوهر التقرير بسيط: أخرجت ConnectWise خدماتها السحابية من الخدمة استجابةً لهجوم إلكتروني. تعليق خدمة ما هو عادةً خطوة احتواء، أي وسيلة لإيقاف أي وصول غير مصرح به بشكل أكبر أثناء سير التحقيق. وهو بحد ذاته ليس دليلًا على عدد العملاء المتأثرين أو على أن أي بيانات قد سُرقت.
لم يتضمن نص المقال الذي راجعناه سوى القليل oltre العنوان، لذا تبقى عدة أسئلة مفتوحة:
- أي الخدمات السحابية المحددة عُلّقت، ولأي مدة
- كيف تسلّل المهاجمون
- ما إذا جرى الوصول إلى بيانات العملاء أو بيئات العملاء
- متى يُتوقع عودة الخدمات
تصف بعض نتائج البحث الأخرى عن ConnectWise حوادث منفصلة، منها حادثة تتعلق ببيانات اعتماد مخترقة لخدمة Cloud Backup ومستأجري Microsoft 365. لا يمكننا تأكيد أن تلك التقارير تصف الحدث نفسه، لذا تعامل معها كسياق لا كحقيقة ثابتة. الخطوة الموثوقة هي الانتظار حتى تصدر ConnectWise إشعاراتها الخاصة وسؤال مزوّدك عمّا ينطبق عليك.
لماذا يطال انقطاع أحد المورّدين العملاء العاديين
نادرًا ما تشتري معظم الشركات الصغيرة من ConnectWise مباشرة. إنها تستعين بمزوّد خدمات مُدارة (MSP)، ويستخدم هذا المزوّد منصات مثل ConnectWise لمراقبة الأجهزة ودفع التحديثات وتقديم الدعم عن بُعد وإدارة النسخ الاحتياطي. وهذا ينشئ سلسلة: المورّد، ومزوّد الخدمات المُدارة، وعملاء المزوّد الكثيرون.
عندما يُهاجَم مورّد في وسط تلك السلسلة، يمكن أن يحدث أمران في آن واحد:
- تعطّل تشغيلي. إذا عُلّقت الخدمات السحابية، فقد يفقد مزوّد الخدمات المُدارة بعض الأدوات التي يستخدمها لدعمك. قد تتأخر تذاكر الدعم أو الوصول عن بُعد أو مهام النسخ الاحتياطي.
- تعرّض أمني. تحمل أدوات الإدارة عن بُعد وصولًا قويًا إلى العديد من أنظمة العملاء. إذا وصل مهاجم إلى بيئة المورّد، فإن القلق هو ما إذا كان ذلك الوصول يمكن توجيهه إلى الجهات اللاحقة في السلسلة.
لهذا السبب يمكن لمورّد واحد مخترق لإدارة الأنظمة عن بُعد أن يعرّض العديد من المؤسسات للخطر. اختراق واحد يمكن أن يمسّ مئات الشركات التي لم ترَ المهاجم قط. وهذا يتناسب أيضًا مع نمط أوسع: يشرح تغطيتنا لـعصابات الفدية التي تتحول إلى قمع مساحي لشبكات الشركات الصغيرة والمتوسطة لماذا تكون المؤسسات الأصغر، التي غالبًا ما يُوصل إليها عبر أدوات ومزوّدين مشتركين، أهدافًا جاذبة.
كيف تتحقق مما إذا كان مزوّدوك متأثرين
قد لا تعرف ما إذا كانت شركتك ضمن سلسلة ConnectWise أصلًا. تساعدك بضع خطوات على معرفة ذلك:
- اسأل مزوّد الخدمات المُدارة مباشرة. اسأل عمّا إذا كانوا يستخدمون منتجات ConnectWise، وإن كانوا كذلك، فأيها (الدعم عن بُعد أو النسخ الاحتياطي أو الأتمتة أو غيرها).
- تحقق من اتصالات المورّد. ابحث عن إشعارات من ConnectWise أو من مزوّد الخدمات المُدارة في بريدك الوارد، بما في ذلك مجلد البريد العشوائي. كن حذرًا مع الرسائل غير المتوقعة حول الحادثة، لأن المهاجمين غالبًا ما يستغلون أخبار الاختراقات لتنفيذ التصيّد.
- راجع حساباتك الخاصة. افحص سجلات تسجيل الدخول لبريدك وحساباتك السحابية للإنتاجية بحثًا عن مواقع غير مألوفة أو أجهزة جديدة أو منح أذونات غير متوقعة.
- راجع حالة الخدمة. استخدم صفحات الحالة الرسمية، لا الروابط في رسائل البريد، لمتابعة استعادة الخدمات.
إذا وجدت شيئًا غريبًا، فأبلغ مزوّدك فورًا واحتفظ بسجل لما رأيته ومتى.
ما ينبغي أن تسأل عنه مزوّد الخدمات المُدارة أو مورّد البرمجيات الآن
هذه لحظة جيدة لطرح أسئلة ربما لم تطرحها من قبل. من الأسئلة المعقولة:
- هل كانت أي من أنظمتنا أو حساباتنا أو نسخنا الاحتياطية متصلة بالخدمات المتأثرة؟
- هل أخبرك المورّد بأن بيانات العملاء أو بيانات الاعتماد قد تعرضت؟
- هل تحتاج إلى تغيير كلمات المرور أو مفاتيح API أو رموز الوصول، وهل فعلت ذلك لبيئتنا؟
- ما خطتنا البديلة إذا كانت أدواتك عن بُعد غير متاحة؟
- كيف ومتى ستخبرنا إذا علمت بوجود تأثير على بياناتنا؟
ينبغي لمزوّد جيد أن يجيب بوضوح، أو أن يقول بصدق إنه ما زال ينتظر نتائج المورّد. الشركات التي تؤكد الحوادث بانفتاح، كما رأينا عندما أكدت McKesson اختراقًا بعد مزاعم ابتزاز، تمنح العملاء شيئًا ملموسًا للتصرف بناءً عليه. أما الصمت فهو إشارة إلى ضرورة الضغط أكثر.
ما يعنيه هذا لك
إذا كنت تدير شركة صغيرة أو تعتمد على مزوّد خدمات مُدارة، فالدرس الرئيسي هو أن أمنك يعتمد جزئيًا على مورّدين ربما لم تخترهم قط. لا يمكنك ترقيع سحابة مورّد ما، لكن يمكنك الحد من الضرر إذا تعرّضت للاختراق.
- استخدم كلمات مرور فريدة والمصادقة متعددة العوامل على كل حساب يمسّه مزوّدك.
- احتفظ بنسخة احتياطية واحدة على الأقل منفصلة عن أدوات الإدارة الرئيسية لديك.
- اعرف بمن تتصل، وكيف، إذا انقطعت أدوات مزوّدك.
- توقّع أن يتحرك المهاجمون بسرعة بعد أي إفصاح. تُظهر أبحاث مثل توثيق Sysdig لهجوم فدية ذاتي بالكامل بالذكاء الاصطناعي مدى سرعة تقدم الاختراقات بمجرد الحصول على وصول.
إذا كنت مستهلكًا فرديًا، فإن تعرّضك غير مباشر في الغالب، عبر شركة تحتفظ ببياناتك. راقب إشعارات الاختراق وكن متشككًا في الرسائل غير المتوقعة التي تذكر الحادثة.
النقاط العملية القابلة للتنفيذ
- تواصل مع مزوّد تقنية المعلومات لديك هذا الأسبوع واسأل عمّا إذا كانت خدمات ConnectWise جزءًا من إعدادك.
- اسأل عمّا تأثر، وما الذي غيّروه، وما إذا كنت بحاجة إلى إعادة تعيين أي بيانات اعتماد.
- راجع نشاط تسجيل الدخول على حساباتك التجارية الرئيسية.
- اكتب خطة بسيطة لاختراق مورّد: بمن تتصل، وما تفصله، وكيف تعمل دون أدوات عن بُعد ليوم أو يومين.
- تابع تحديثات ConnectWise ومزوّد الخدمات المُدارة الرسمية بدلًا من الشائعات من أطراف ثالثة.
لا يزال هجوم ConnectWise الإلكتروني وتعليق خدماتها السحابية في تطور، وقد تتغير التفاصيل. طرح الأسئلة الصحيحة الآن يضعك في موقف أقوى مهما كشف التحقيق. لمزيد من السياق حول سبب استمرار المؤسسات الأصغر في الوقوع في مرمى المهاجمين، اقرأ مقالنا عن عصابات الفدية التي تستهدف شبكات الشركات الصغيرة والمتوسطة، ثم تواصل مع مزوّد تقنية المعلومات لديك اليوم.
