ConnectWise har suspenderet nogle af sine cloudtjenester som reaktion på et cyberangreb, ifølge en rapport fra SecurityWeek. ConnectWise-cyberangrebet og beslutningen om at suspendere cloudtjenesterne har betydning langt ud over én virksomhed, fordi ConnectWise-værktøjer er bredt anvendt af managed service providers (MSP'er) og de små virksomheder, de supporterer.

Dette indlæg er bevidst forsigtigt. Kildematerialet, vi har til rådighed, bekræfter overskriftens faktum – at ConnectWise suspenderede cloudtjenester efter et angreb – men det specificerer ikke årsagen, omfanget eller hvilke kunder der blev påvirket. Vi vil ikke gætte på disse detaljer. I stedet følger her, hvad situationen betyder i praktiske termer, og hvordan du får svar fra de personer, der styrer din IT.

Hvad ConnectWise hidtil har bekræftet

Kernen i rapporten er enkel: ConnectWise tog cloudtjenester offline som reaktion på et cyberangreb. At suspendere en tjeneste er typisk et inddæmningstrin, en måde at stoppe yderligere uautoriseret adgang på, mens en undersøgelse kører. Det er i sig selv ikke bevis for, hvor mange kunder der blev påvirket, eller om der blev taget data.

Den artikeltekst, vi gennemgik, indeholdt lidt ud over overskriften, så flere spørgsmål står stadig åbne:

  • Hvilke specifikke cloudtjenester der blev suspenderet, og i hvor lang tid
  • Hvordan angriberne kom ind
  • Om kundedata eller kundemiljøer blev tilgået
  • Hvornår tjenesterne forventes at vende tilbage

Nogle andre søgeresultater om ConnectWise beskriver separate hændelser, herunder en der involverer en kompromitteret Cloud Backup-legitimationsoplysning og Microsoft 365-tenants. Vi kan ikke bekræfte, at disse rapporter beskriver den samme hændelse, så betragt dem som kontekst snarere end fastslået faktum. Det pålidelige træk er at vente på ConnectWise's egne advisories og spørge din udbyder, hvad der gælder for dig.

Hvorfor en udbyders nedbrud rammer almindelige kunder

De fleste små virksomheder køber aldrig direkte fra ConnectWise. De hyrer en MSP, og MSP'en bruger platforme som ConnectWise til at overvåge enheder, skubbe opdateringer ud, yde fjernsupport og håndtere backups. Det skaber en kæde: udbyderen, MSP'en og MSP'ens mange kunder.

Når en udbyder midt i den kæde angribes, kan to ting ske på én gang:

  1. Operationel forstyrrelse. Hvis cloudtjenester suspenderes, kan din MSP miste nogle af de værktøjer, den bruger til at supportere dig. Ticket-håndtering, fjernadgang eller backupjobs kan blive forsinket.
  2. Sikkerhedseksponering. Fjernstyringsværktøjer har kraftfuld adgang til mange kundesystemer. Hvis en angriber når udbyderens miljø, er bekymringen, om den adgang kan rettes nedad i kæden.

Det er derfor, en enkelt kompromitteret udbyder af fjernstyring kan bringe så mange organisationer i fare. Et enkelt indbrud kan ramme hundredvis af virksomheder, der aldrig så angriberen. Det passer også ind i et bredere mønster: vores dækning af ransomware-bander der skifter til områdeundertrykkelse af SMV-netværk forklarer, hvorfor mindre organisationer, ofte nået gennem delte værktøjer og udbydere, er attraktive mål.

Sådan tjekker du, om dine udbydere blev påvirket

Du ved måske ikke, om din virksomhed overhovedet er i ConnectWise-kæden. Et par trin hjælper dig med at finde ud af det:

  • Spørg din MSP direkte. Spørg, om de bruger ConnectWise-produkter, og i så fald hvilke (fjernsupport, backup, automatisering eller andre).
  • Tjek udbyderkommunikation. Se efter meddelelser fra ConnectWise eller din MSP i din indbakke, inklusive din spam-mappe. Vær forsigtig med uventede beskeder om hændelsen, da angribere ofte udnytter brudnyheder til phishing.
  • Gennemgå dine egne konti. Kig på loginlogs for dine e-mail- og cloudproduktivitetskonti for ukendte placeringer, nye enheder eller uventede tilladelsesgivninger.
  • Gennemgå tjenestestatus. Brug officielle statussider, ikke links i e-mails, til at følge genopretningen af tjenester.

Hvis du finder noget mærkeligt, skal du rapportere det til din udbyder hurtigt og gemme en oversigt over, hvad du så, og hvornår.

Hvad du bør spørge din MSP eller softwareudbyder om nu

Det er et godt tidspunkt at stille spørgsmål, du måske ikke har stillet før. Rimelige spørgsmål inkluderer:

  • Var nogle af vores systemer, konti eller backups forbundet til de påvirkede tjenester?
  • Har udbyderen fortalt dig, at kundedata eller legitimationsoplysninger blev eksponeret?
  • Skal du rotere adgangskoder, API-nøgler eller adgangstokens, og har du gjort det for vores miljø?
  • Hvad er vores fallback, hvis dine fjernværktøjer er utilgængelige?
  • Hvordan og hvornår vil du fortælle os det, hvis du får kendskab til en påvirkning af vores data?

En god udbyder bør kunne svare klart eller ærligt sige, at de stadig venter på udbyderens resultater. Virksomheder, der åbent bekræfter hændelser, som vi så, da McKesson bekræftede et brud efter afpresningskrav, giver kunderne noget konkret at handle på. Tavshed er signalet til at presse på.

Hvad det betyder for dig

Hvis du driver en lille virksomhed eller er afhængig af en MSP, er den vigtigste lektie, at din sikkerhed delvist afhænger af udbydere, du måske aldrig selv har valgt. Du kan ikke patche en leverandørs cloud, men du kan begrænse skaden, hvis den kompromitteres.

  • Brug unikke adgangskoder og multifaktorautentificering på hver konto, din udbyder rører ved.
  • Hold mindst én backup, der er adskilt fra dine primære styringsværktøjer.
  • Vid, hvem du skal ringe til, og hvordan, hvis din udbyders værktøjer går offline.
  • Forvent, at angribere bevæger sig hurtigt efter enhver offentliggørelse. Forskning som Sysdigs dokumentation af et autonomt AI-ransomwareangreb viser, hvor hurtigt indtrængninger kan udvikle sig, når adgang først er opnået.

Hvis du er en individuel forbruger, er din eksponering mest indirekte, gennem en virksomhed, der opbevarer dine data. Hold øje med brudmeddelelser, og vær skeptisk over for uventede beskeder, der nævner hændelsen.

Handlingsorienterede pointer

  • Kontakt din IT-udbyder i denne uge, og spørg, om ConnectWise-tjenester er en del af din opsætning.
  • Spørg, hvad der blev påvirket, hvad de har ændret, og om du skal nulstille nogle legitimationsoplysninger.
  • Gennemgå loginaktivitet på dine vigtigste forretningskonti.
  • Skriv en enkel plan for udbyderbrud ned: hvem der skal kontaktes, hvad der skal afbrydes, og hvordan man kan operere uden fjernværktøjer i en dag eller to.
  • Følg officielle ConnectWise- og MSP-opdateringer frem for tredjepartsrygter.

ConnectWise-cyberangrebet og suspensionen af dets cloudtjenester er stadig under udvikling, og detaljer kan ændre sig. At stille de rigtige spørgsmål nu stiller dig i en stærkere position, uanset hvad undersøgelsen finder. For mere kontekst om, hvorfor mindre organisationer fortsat ender i angribernes søgelys, læs vores artikel om ransomware-bander der målretter sig mod SMV-netværk, og kontakt derefter din IT-udbyder i dag.