ConnectWise е спряла някои от своите облачни услуги в отговор на кибератака, според репортаж на SecurityWeek. Кибератаката срещу ConnectWise и решението облачните ѝ услуги да бъдат спрени имат значение далеч отвъд една компания, защото инструментите на ConnectWise се използват широко от доставчици на управлявани услуги (MSP) и малките бизнеси, които те подкрепят.

Тази публикация е нарочно предпазлива. Изходният материал, с който разполагаме, потвърждава основния факт — че ConnectWise е спряла облачни услуги след атака — но не уточнява причината, обхвата или кои клиенти са засегнати. Няма да гадаем тези подробности. Вместо това ето какво означава ситуацията на практика и как да получите отговори от хората, които управляват вашата ИТ среда.

Какво е потвърдила ConnectWise досега

Същността на репортажа е проста: ConnectWise е извела облачни услуги офлайн като реакция на кибератака. Спирането на услуга обикновено е стъпка за ограничаване — начин да се спре по-нататъшен неоторизиран достъп, докато тече разследване. Само по себе си то не е доказателство колко клиенти са засегнати или дали са били изнесени данни.

Текстът на статията, който прегледахме, съдържаше малко повече от заглавието, така че няколко въпроса остават отворени:

  • Кои конкретни облачни услуги са спрени и за колко време
  • Как са проникнали нападателите
  • Дали са били достъпени клиентски данни или клиентски среди
  • Кога се очаква услугите да бъдат възстановени

Други резултати от търсене за ConnectWise описват отделни инциденти, включително един, свързан с компрометиран идентификационни данни за Cloud Backup и наематели на Microsoft 365. Не можем да потвърдим, че тези репортажи описват същото събитие, затова ги третирайте като контекст, а не като установен факт. Надеждният подход е да изчакате собствените съобщения на ConnectWise и да попитате вашия доставчик какво се отнася за вас.

Защо прекъсване при доставчик засяга обикновени клиенти

Повечето малки бизнеси никога не купуват директно от ConnectWise. Те наемат MSP, а MSP използва платформи като ConnectWise, за да наблюдава устройства, да разпространява актуализации, да предоставя отдалечена поддръжка и да управлява резервни копия. Така се създава верига: доставчикът, MSP и многобройните клиенти на MSP.

Когато доставчик в средата на тази верига бъде атакуван, две неща могат да се случат едновременно:

  1. Оперативно прекъсване. Ако облачните услуги са спрени, вашият MSP може да загуби част от инструментите, които използва, за да ви поддържа. Заявките за поддръжка, отдалеченият достъп или задачите за резервно копиране може да се забавят.
  2. Излагане на риск за сигурността. Инструментите за отдалечено управление имат мощен достъп до много клиентски системи. Ако нападател достигне до средата на доставчика, тревогата е дали този достъп може да бъде насочен надолу по веригата.

Ето защо един компрометиран доставчик на отдалечено управление може да изложи на риск толкова много организации. Едно проникване може да засегне стотици бизнеси, които никога не са виждали нападателя. Това се вписва и в по-широка тенденция: нашето отразяване на бандите за ransomware, които преминават към потискане на мрежи на МСП по райони обяснява защо по-малките организации, често достигащи се чрез споделени инструменти и доставчици, са привлекателни цели.

Как да проверите дали вашите доставчици са засегнати

Може дори да не знаете дали вашият бизнес е във веригата на ConnectWise. Няколко стъпки ще ви помогнат да разберете:

  • Попитайте директно вашия MSP. Попитайте дали използват продукти на ConnectWise и ако да, кои (отдалечена поддръжка, резервно копиране, автоматизация или други).
  • Проверете съобщенията от доставчика. Търсете известия от ConnectWise или вашия MSP в пощата си, включително в папката за спам. Бъдете внимателни с неочаквани съобщения за инцидента, тъй като нападателите често се възползват от новини за пробиви за фишинг.
  • Прегледайте собствените си акаунти. Проверете регистрите за вход в имейла и облачните продуктивни акаунти за непознати местоположения, нови устройства или неочаквано предоставени разрешения.
  • Проверете статуса на услугите. Използвайте официални страници за статус, а не връзки в имейли, за да следите възстановяването на услугите.

Ако откриете нещо необичайно, докладвайте го на доставчика си своевременно и водете запис какво сте видели и кога.

Какво да попитате вашия MSP или доставчик на софтуер сега

Това е добър момент да зададете въпроси, които може никога досега да не сте задавали. Разумни въпроси включват:

  • Били ли са свързани някои от нашите системи, акаунти или резервни копия със засегнатите услуги?
  • Съобщил ли ви е доставчикът, че клиентски данни или идентификационни данни са били изложени?
  • Трябва ли да смените пароли, API ключове или токени за достъп, и направихте ли го за нашата среда?
  • Какъв е нашият план за заместване, ако вашите инструменти за отдалечен достъп не са налични?
  • Как и кога ще ни уведомите, ако научите за въздействие върху нашите данни?

Добрият доставчик трябва да може да отговори ясно или честно да каже, че все още чака констатациите на доставчика. Компаниите, които открито потвърждават инциденти, както видяхме, когато McKesson потвърди пробив след твърдения за изнудване, дават на клиентите нещо конкретно, върху което да действат. Мълчанието е сигнал да настоявате повече.

Какво означава това за вас

Ако управлявате малък бизнес или разчитате на MSP, основният урок е, че вашата сигурност зависи частично от доставчици, които може никога да не сте избирали. Не можете да коригирате облака на доставчика, но можете да ограничите щетите, ако той бъде компрометиран.

  • Използвайте уникални пароли и многофакторна автентикация за всеки акаунт, до който вашият доставчик има достъп.
  • Поддържайте поне едно резервно копие, отделно от основните ви инструменти за управление.
  • Знайте на кого да се обадите и как, ако инструментите на вашия доставчик станат недостъпни.
  • Очаквайте нападателите да действат бързо след всяко разкритие. Изследвания като документацията на Sysdig за автономна AI атака с ransomware показват колко бързо могат да напреднат проникванията, след като бъде получен достъп.

Ако сте индивидуален потребител, излагането ви на риск е предимно непряко — чрез бизнес, който съхранява вашите данни. Следете за известия за пробиви и бъдете скептични към неочаквани съобщения, които споменават инцидента.

Практически изводи

  • Свържете се с вашия ИТ доставчик тази седмица и попитайте дали услугите на ConnectWise са част от вашата конфигурация.
  • Попитайте какво е засегнато, какво са променили и дали трябва да смените някакви идентификационни данни.
  • Прегледайте активността за вход в ключовите си бизнес акаунти.
  • Запишете прост план за пробив при доставчик: на кого да се обадите, какво да изключите и как да работите без инструменти за отдалечен достъп за ден-два.
  • Следете официалните актуализации на ConnectWise и MSP, а не слухове от трети страни.

Кибератаката срещу ConnectWise и спирането на облачните ѝ услуги все още се развиват и подробностите може да се променят. Задаването на правилните въпроси сега ви поставя в по-силна позиция, каквото и да открие разследването. За повече контекст защо по-малките организации продължават да попадат в полезрението на нападателите, прочетете нашата статия за бандите за ransomware, targeting мрежи на МСП, след което се свържете с вашия ИТ доставчик още днес.