Podle zprávy SecurityWeek pozastavil ConnectWise některé své cloudové služby v reakci na kybernetický útok. Kybernetický útok na ConnectWise a rozhodnutí pozastavit cloudové služby mají význam daleko za hranicemi jedné společnosti, protože nástroje ConnectWise široce využívají poskytovatelé spravovaných služeb (MSP) a malé firmy, kterým poskytují podporu.

Tento příspěvek je záměrně opatrný. Dostupné zdrojové materiály potvrzují hlavní skutečnost, že ConnectWise po útoku pozastavil cloudové služby, ale neuvádějí příčinu, rozsah ani to, kterých zákazníků se incident dotkl. Tyto podrobnosti nebudeme odhadovat. Místo toho zde vysvětlíme, co situace znamená v praktických termínech a jak získat odpovědi od lidí, kteří spravují vaše IT.

Co ConnectWise dosud potvrdil

Jádro zprávy je jednoduché: ConnectWise vzal cloudové služby offline v reakci na kybernetický útok. Pozastavení služby je obvykle krokem k omezení šíření, způsobem, jak zastavit další neoprávněný přístup během probíhajícího vyšetřování. Samo o sobě to není důkazem o tom, kolika zákazníků se incident dotkl nebo zda byla odcizena nějaká data.

Text článku, který jsme zkontrolovali, obsahoval kromě titulku jen málo, takže několik otázek zůstává otevřených:

  • Které konkrétní cloudové služby byly pozastaveny a na jak dlouho
  • Jak se útočníci dostali dovnitř
  • Zda byl získán přístup k zákaznickým datům nebo zákaznickým prostředím
  • Kdy se očekává obnovení služeb

Některé další výsledky vyhledávání o ConnectWise popisují samostatné incidenty, včetně jednoho týkajícího se kompromitovaného přihlašovacího údaje Cloud Backup a tenantů Microsoft 365. Nemůžeme potvrdit, že tyto zprávy popisují stejnou událost, proto je berte jako kontext, nikoli jako potvrzený fakt. Spolehlivým postupem je počkat na vlastní oznámení ConnectWise a zeptat se svého poskytovatele, co platí pro vás.

Proč se výpadek dodavatele dotýká běžných zákazníků

Většina malých firem nikdy nenakupuje přímo od ConnectWise. Najímají si MSP a MSP používá platformy jako ConnectWise ke sledování zařízení, distribuci aktualizací, poskytování vzdálené podpory a správě záloh. Tím vzniká řetězec: dodavatel, MSP a mnoho klientů MSP.

Když je napaden dodavatel uprostřed tohoto řetězce, mohou nastat dvě věci současně:

  1. Provozní narušení. Pokud jsou cloudové služby pozastaveny, váš MSP může ztratit některé nástroje, které používá k vaší podpoře. Zpracování tiketů, vzdálený přístup nebo zálohovací úlohy mohou být zpožděny.
  2. Bezpečnostní expozice. Nástroje pro vzdálenou správu mají silný přístup k mnoha zákaznickým systémům. Pokud útočník pronikne do prostředí dodavatele, obavou je, zda by tento přístup mohl být namířen dále po řetězci.

To je důvod, proč jeden kompromitovaný dodavatel vzdálené správy může ohrozit tolik organizací. Jeden průnik se může dotknout stovek firem, které útočníka nikdy neviděly. Zapadá to i do širšího vzorce: naše pokrytí tématu ransomwarové gangy přecházejí k plošnému potlačování sítí malých a středních podniků vysvětluje, proč jsou menší organizace, často dosažitelné prostřednictvím sdílených nástrojů a poskytovatelů, atraktivními cíli.

Jak zjistit, zda byli vaši poskytovatelé zasaženi

Možná vůbec nevíte, zda je vaše firma součástí řetězce ConnectWise. Několik kroků vám pomůže to zjistit:

  • Zeptejte se přímo svého MSP. Zeptejte se, zda používají produkty ConnectWise, a pokud ano, které (vzdálená podpora, zálohování, automatizace nebo jiné).
  • Zkontrolujte komunikaci dodavatele. Hledejte oznámení od ConnectWise nebo svého MSP ve své schránce, včetně složky se spamem. Buďte opatrní u neočekávaných zpráv o incidentu, protože útočníci často zneužívají zprávy o narušení k phishingu.
  • Zkontrolujte své vlastní účty. Podívejte se do protokolů přihlášení ke svému e-mailu a cloudovým produktivním účtům na neznámá místa, nová zařízení nebo neočekávaná udělení oprávnění.
  • Sledujte stav služeb. Ke sledování obnovení služeb používejte oficiální stavové stránky, nikoli odkazy v e-mailech.

Pokud najdete něco zvláštního, neprodleně to nahlaste svému poskytovateli a zaznamenejte, co jste viděli a kdy.

Na co se nyní zeptat svého MSP nebo dodavatele softwaru

Toto je vhodná chvíle položit otázky, které jste možná dříve nepoložili. Rozumné otázky zahrnují:

  • Byly některé naše systémy, účty nebo zálohy propojeny s postiženými službami?
  • Řekl vám dodavatel, že byla odhalena zákaznická data nebo přihlašovací údaje?
  • Potřebujete změnit hesla, API klíče nebo přístupové tokeny, a provedli jste to pro naše prostředí?
  • Jaký je náš záložní postup, pokud vaše nástroje pro vzdálenou správu nebudou dostupné?
  • Jak a kdy nám dáte vědět, pokud se dozvíte o dopadu na naše data?

Dobrý poskytovatel by měl být schopen odpovědět jasně, nebo poctivě říci, že stále čeká na zjištění dodavatele. Společnosti, které incidenty otevřeně potvrzují, jak jsme viděli, když McKesson potvrdil narušení poté, co skupina ShinyHunters vznesla nároky na 284 milionů záznamů, dávají zákazníkům něco konkrétního, na co mohou reagovat. Ticho je signálem, abyste zatlačili více.

Co to znamená pro vás

Pokud vedete malou firmu nebo se spoléháte na MSP, hlavním ponaučením je, že vaše bezpečnost částečně závisí na dodavatelích, které jste si možná nikdy nevybrali. Cloud dodavatele záplatovat nemůžete, ale můžete omezit škody, pokud je kompromitován.

  • Používejte jedinečná hesla a vícefaktorové ověřování u každého účtu, kterého se váš poskytovatel dotýká.
  • Uchovávejte alespoň jednu zálohu oddělenou od vašich hlavních nástrojů správy.
  • Vězte, na koho volat a jak, pokud nástroje vašeho poskytovatele přestanou fungovat.
  • Očekávejte, že útočníci po jakémkoli zveřejnění budou jednat rychle. Výzkum, jako je dokumentace společnosti Sysdig o autonomním ransomwarovém útoku s umělou inteligencí, ukazuje, jak rychle mohou průniky postupovat, jakmile je získán přístup.

Pokud jste individuální spotřebitel, vaše expozice je většinou nepřímá, prostřednictvím firmy, která uchovává vaše data. Sledujte oznámení o narušení a buďte skeptičtí k neočekávaným zprávám, které zmiňují incident.

Praktické závěry

  • Tento týden kontaktujte svého IT poskytovatele a zeptejte se, zda jsou služby ConnectWise součástí vašeho nastavení.
  • Zeptejte se, co bylo zasaženo, co změnili a zda potřebujete obnovit nějaké přihlašovací údaje.
  • Zkontrolujte aktivitu přihlášení u svých klíčových firemních účtů.
  • Sepište si jednoduchý plán pro případ narušení u dodavatele: komu volat, co odpojit a jak fungovat den nebo dva bez nástrojů vzdálené správy.
  • Sledujte oficiální aktualizace ConnectWise a MSP, nikoli fámy třetích stran.

Kybernetický útok na ConnectWise a pozastavení jeho cloudových služeb se stále vyvíjejí a podrobnosti se mohou změnit. Kladení správných otázek nyní vás postaví do silnější pozice bez ohledu na to, co vyšetřování zjistí. Další kontext k tomu, proč menší organizace stále končí v hledáčku útočníků, najdete v našem článku o ransomwarových gangech cílících na sítě malých a středních podniků, a poté se dnes obraťte na svého IT poskytovatele.