Η ConnectWise έχει αναστείλει ορισμένες από τις υπηρεσίες cloud της σε απάντηση σε κυβερνοεπίθεση, σύμφωνα με δημοσίευμα του SecurityWeek. Η κυβερνοεπίθεση στην ConnectWise και η απόφαση αναστολής των υπηρεσιών cloud της έχουν σημασία πολύ πέρα από μία εταιρεία, επειδή τα εργαλεία της ConnectWise χρησιμοποιούνται ευρέως από παρόχους διαχειριζόμενων υπηρεσιών (MSPs) και τις μικρές επιχειρήσεις που υποστηρίζουν.

Αυτό το άρθρο είναι σκόπιμα προσεκτικό. Το υλικό πηγής που έχουμε στη διάθεσή μας επιβεβαιώνει το βασικό γεγονός, ότι η ConnectWise ανέστειλε υπηρεσίες cloud μετά από επίθεση, αλλά δεν διευκρινίζει την αιτία, το εύρος ή ποιοι πελάτες επηρεάστηκαν. Δεν θα μαντέψουμε αυτές τις λεπτομέρειες. Αντ' αυτού, να τι σημαίνει η κατάσταση σε πρακτικούς όρους και πώς να πάρετε απαντήσεις από τους ανθρώπους που διαχειρίζονται την IT σας.

Τι έχει επιβεβαιώσει μέχρι στιγμής η ConnectWise

Ο πυρήνας του δημοσιεύματος είναι απλός: η ConnectWise έθεσε υπηρεσίες cloud εκτός λειτουργίας ως απάντηση σε κυβερνοεπίθεση. Η αναστολή μιας υπηρεσίας είναι συνήθως ένα βήμα περιορισμού, ένας τρόπος να σταματήσει περαιτέρω μη εξουσιοδοτημένη πρόσβαση όσο διεξάγεται έρευνα. Δεν αποτελεί, από μόνη της, απόδειξη για το πόσοι πελάτες επηρεάστηκαν ή αν ελήφθησαν δεδομένα.

Το κείμενο του άρθρου που εξετάσαμε περιείχε ελάχιστα πέρα από τον τίτλο, οπότε αρκετά ερωτήματα παραμένουν ανοιχτά:

  • Ποιες συγκεκριμένες υπηρεσίες cloud ανεστάλησαν, και για πόσο
  • Πώς μπήκαν οι επιτιθέμενοι
  • Αν αποκτήθηκε πρόσβαση σε δεδομένα πελατών ή περιβάλλοντα πελατών
  • Πότε αναμένεται να επανέλθουν οι υπηρεσίες

Ορισμένα άλλα αποτελέσματα αναζήτησης για την ConnectWise περιγράφουν ξεχωριστά περιστατικά, συμπεριλαμβανομένου ενός που αφορά παραβιασμένο διαπιστευτήριο του Cloud Backup και μισθωτές του Microsoft 365. Δεν μπορούμε να επιβεβαιώσουμε ότι αυτά τα δημοσιεύματα περιγράφουν το ίδιο συμβάν, οπότε αντιμετωπίστε τα ως πλαίσιο και όχι ως τεκμηριωμένο γεγονός. Η αξιόπιστη κίνηση είναι να περιμένετε τις δικές της ανακοινώσεις της ConnectWise και να ρωτήσετε τον πάροχό σας τι ισχύει για εσάς.

Γιατί μια διακοπή προμηθευτή φτάνει σε απλούς πελάτες

Οι περισσότερες μικρές επιχειρήσεις δεν αγοράζουν ποτέ απευθείας από την ConnectWise. Προσλαμβάνουν έναν MSP, και ο MSP χρησιμοποιεί πλατφόρμες όπως η ConnectWise για να παρακολουθεί συσκευές, να προωθεί ενημερώσεις, να παρέχει απομακρυσμένη υποστήριξη και να διαχειρίζεται αντίγραφα ασφαλείας. Αυτό δημιουργεί μια αλυσίδα: τον προμηθευτή, τον MSP και τους πολλούς πελάτες του MSP.

Όταν ένας προμηθευτής στη μέση αυτής της αλυσίδας δέχεται επίθεση, δύο πράγματα μπορούν να συμβούν ταυτόχρονα:

  1. Επιχειρησιακή διαταραχή. Αν οι υπηρεσίες cloud ανασταλούν, ο MSP σας μπορεί να χάσει ορισμένα από τα εργαλεία που χρησιμοποιεί για να σας υποστηρίξει. Η διαχείριση αιτημάτων, η απομακρυσμένη πρόσβαση ή οι εργασίες αντιγράφων ασφαλείας μπορεί να καθυστερήσουν.
  2. Έκθεση στην ασφάλεια. Τα εργαλεία απομακρυσμένης διαχείρισης κατέχουν ισχυρή πρόσβαση σε πολλά συστήματα πελατών. Αν ένας επιτιθέμενος φτάσει στο περιβάλλον του προμηθευτή, η ανησυχία είναι κατά πόσο αυτή η πρόσβαση θα μπορούσε να στραφεί προς τα κάτω στην αλυσίδα.

Αυτός είναι ο λόγος που ένας μόνο παραβιασμένος προμηθευτής απομακρυσμένης διαχείρισης μπορεί να θέσει σε κίνδυνο τόσους πολλούς οργανισμούς. Μία διάρρηξη μπορεί να αγγίξει εκατοντάδες επιχειρήσεις που δεν είδαν ποτέ τον επιτιθέμενο. Ταιριάζει επίσης με ένα ευρύτερο μοτίβο: η κάλυψή μας για συμμορίες ransomware που στρέφονται σε τοπική καταστολή δικτύων ΜΜΕ εξηγεί γιατί μικρότεροι οργανισμοί, που συχνά προσεγγίζονται μέσω κοινών εργαλείων και παρόχων, είναι ελκυστικοί στόχοι.

Πώς να ελέγξετε αν οι πάροχοί σας επηρεάστηκαν

Μπορεί να μην γνωρίζετε καν αν η επιχείρησή σας βρίσκεται στην αλυσίδα της ConnectWise. Μερικά βήματα σας βοηθούν να το ανακαλύψετε:

  • Ρωτήστε απευθείας τον MSP σας. Ρωτήστε αν χρησιμοποιούν προϊόντα ConnectWise και, αν ναι, ποια (απομακρυσμένη υποστήριξη, αντίγραφα ασφαλείας, αυτοματοποίηση ή άλλα).
  • Ελέγξτε τις επικοινωνίες του προμηθευτή. Αναζητήστε ειδοποιήσεις από την ConnectWise ή τον MSP σας στα εισερχόμενά σας, συμπεριλαμβανομένου του φακέλου ανεπιθύμητης αλληλογραφίας. Να είστε προσεκτικοί με απροσδόκητα μηνύματα σχετικά με το περιστατικό, καθώς οι επιτιθέμενοι συχνά εκμεταλλεύονται ειδήσεις παραβιάσεων για phishing.
  • Εξετάστε τους δικούς σας λογαριασμούς. Κοιτάξτε τα αρχεία σύνδεσης για το email σας και τους λογαριασμούς παραγωγικότητας στο cloud για άγνωστες τοποθεσίες, νέες συσκευές ή απροσδόκητες παραχωρήσεις δικαιωμάτων.
  • Ελέγξτε την κατάσταση των υπηρεσιών. Χρησιμοποιήστε επίσημες σελίδες κατάστασης, όχι συνδέσμους σε email, για να παρακολουθείτε την αποκατάσταση των υπηρεσιών.

Αν εντοπίσετε κάτι περίεργο, αναφέρετέ το στον πάροχό σας άμεσα και κρατήστε αρχείο του τι είδατε και πότε.

Τι να ρωτήσετε τώρα τον MSP ή τον προμηθευτή λογισμικού σας

Αυτή είναι μια καλή στιγμή για να θέσετε ερωτήματα που ίσως δεν έχετε θέσει στο παρελθόν. Λογικά ερωτήματα περιλαμβάνουν:

  • Ήταν οποιαδήποτε από τις υπηρεσίες, τους λογαριασμούς ή τα αντίγραφα ασφαλείας μας συνδεδεμένα με τις επηρεασμένες υπηρεσίες;
  • Σας έχει πει ο προμηθευτής ότι εκτέθηκαν δεδομένα πελατών ή διαπιστευτήρια;
  • Χρειάζεται να αλλάξουμε κωδικούς πρόσβασης, κλειδιά API ή διακριτικά πρόσβασης, και το έχετε κάνει για το περιβάλλον μας;
  • Ποια είναι η εναλλακτική μας λύση αν τα απομακρυσμένα εργαλεία σας δεν είναι διαθέσιμα;
  • Πώς και πότε θα μας ενημερώσετε αν μάθετε για επίπτωση στα δεδομένα μας;

Ένας καλός πάροχος θα πρέπει να μπορεί να απαντήσει ξεκάθαρα, ή να πει ειλικρινά ότι περιμένει ακόμη τα ευρήματα του προμηθευτή. Εταιρείες που επιβεβαιώνουν περιστατικά ανοιχτά, όπως είδαμε όταν η McKesson επιβεβαίωσε παραβίαση μετά από αξιώσεις εκβιασμού, δίνουν στους πελάτες κάτι συγκεκριμένο για να δράσουν. Η σιωπή είναι το σήμα για να πιέσετε περισσότερο.

Τι σημαίνει αυτό για εσάς

Αν διευθύνετε μια μικρή επιχείρηση ή βασίζεστε σε έναν MSP, το κύριο μάθημα είναι ότι η ασφάλειά σας εξαρτάται εν μέρει από προμηθευτές που ίσως δεν επιλέξατε ποτέ. Δεν μπορείτε να διορθώσετε το cloud ενός προμηθευτή, αλλά μπορείτε να περιορίσετε τη ζημιά αν παραβιαστεί.

  • Χρησιμοποιήστε μοναδικούς κωδικούς πρόσβασης και έλεγχο ταυτότητας πολλαπλών παραγόντων σε κάθε λογαριασμό που αγγίζει ο πάροχός σας.
  • Διατηρήστε τουλάχιστον ένα αντίγραφο ασφαλείας που είναι ξεχωριστό από τα κύρια εργαλεία διαχείρισής σας.
  • Ξέρετε ποιον να καλέσετε, και πώς, αν τα εργαλεία του παρόχου σας πέσουν offline.
  • Περιμένετε ότι οι επιτιθέμενοι θα κινηθούν γρήγορα μετά από οποιαδήποτε αποκάλυψη. Έρευνα όπως η τεκμηρίωση της Sysdig για μια αυτόνομη επίθεση ransomware με AI δείχνει πόσο γρήγορα μπορούν να εξελιχθούν οι εισβολές μόλις αποκτηθεί πρόσβαση.

Αν είστε μεμονωμένος καταναλωτής, η έκθεσή σας είναι ως επί το πλείστον έμμεση, μέσω μιας επιχείρησης που κατέχει τα δεδομένα σας. Προσέξτε για ειδοποιήσεις παραβίασης και να είστε επιφυλακτικοί με απροσδόκητα μηνύματα που αναφέρουν το περιστατικό.

Πρακτικά συμπεράσματα

  • Επικοινωνήστε με τον πάροχο IT σας αυτή την εβδομάδα και ρωτήστε αν οι υπηρεσίες ConnectWise αποτελούν μέρος της υποδομής σας.
  • Ρωτήστε τι επηρεάστηκε, τι άλλαξαν και αν χρειάζεται να επαναφέρετε οποιαδήποτε διαπιστευτήρια.
  • Εξετάστε τη δραστηριότητα σύνδεσης στους βασικούς επιχειρηματικούς λογαριασμούς σας.
  • Καταγράψτε ένα απλό σχέδιο για παραβίαση προμηθευτή: ποιον να καλέσετε, τι να αποσυνδέσετε και πώς να λειτουργήσετε χωρίς απομακρυσμένα εργαλεία για μία ή δύο ημέρες.
  • Ακολουθήστε τις επίσημες ενημερώσεις της ConnectWise και του MSP σας αντί για φήμες τρίτων.

Η κυβερνοεπίθεση στην ConnectWise και η αναστολή των υπηρεσιών cloud της βρίσκονται ακόμη σε εξέλιξη, και οι λεπτομέρειες μπορεί να αλλάξουν. Το να θέσετε τα σωστά ερωτήματα τώρα σας θέτει σε ισχυρότερη θέση ό,τι κι αν βρει η έρευνα. Για περισσότερο πλαίσιο σχετικά με το γιατί μικρότεροι οργανισμοί καταλήγουν συνεχώς στο στόχαστρο των επιτιθέμενων, διαβάστε το άρθρο μας για συμμορίες ransomware που στοχεύουν δίκτυα ΜΜΕ, και έπειτα επικοινωνήστε με τον πάροχο IT σας σήμερα.