ConnectWise ha suspendido algunos de sus servicios en la nube en respuesta a un ciberataque, según un informe de SecurityWeek. El ciberataque a ConnectWise y la decisión de suspender sus servicios en la nube tienen importancia mucho más allá de una sola empresa, porque las herramientas de ConnectWise son ampliamente utilizadas por proveedores de servicios gestionados (MSP) y las pequeñas empresas a las que apoyan.
Este artículo es deliberadamente prudente. El material de origen disponible confirma el hecho principal, que ConnectWise suspendió servicios en la nube tras un ataque, pero no detalla la causa, el alcance ni qué clientes se vieron afectados. No especularemos sobre esos detalles. En su lugar, esto es lo que la situación significa en términos prácticos y cómo obtener respuestas de las personas que gestionan su TI.
Lo que ConnectWise ha confirmado hasta ahora
El núcleo del informe es simple: ConnectWise puso servicios en la nube fuera de línea como respuesta a un ciberataque. Suspender un servicio suele ser un paso de contención, una forma de detener un mayor acceso no autorizado mientras se lleva a cabo una investigación. No es, por sí mismo, prueba de cuántos clientes se vieron afectados ni de si se sustrajeron datos.
El texto del artículo que revisamos contenía poco más allá del titular, por lo que varias preguntas siguen abiertas:
- Qué servicios en la nube específicos se suspendieron y durante cuánto tiempo
- Cómo entraron los atacantes
- Si se accedió a datos de clientes o a entornos de clientes
- Cuándo se espera que vuelvan los servicios
Otros resultados de búsqueda sobre ConnectWise describen incidentes separados, incluido uno que involucra una credencial comprometida de Cloud Backup y tenants de Microsoft 365. No podemos confirmar que esos informes describan el mismo evento, así que trátelos como contexto y no como hecho establecido. Lo prudente es esperar los propios avisos de ConnectWise y preguntar a su proveedor qué le aplica a usted.
Por qué una caída de un proveedor llega a los clientes comunes
La mayoría de las pequeñas empresas nunca compran directamente a ConnectWise. Contratan a un MSP, y el MSP utiliza plataformas como ConnectWise para monitorear dispositivos, aplicar actualizaciones, brindar soporte remoto y gestionar copias de seguridad. Eso crea una cadena: el proveedor, el MSP y los muchos clientes del MSP.
Cuando atacan a un proveedor en medio de esa cadena, pueden ocurrir dos cosas a la vez:
- Interrupción operativa. Si se suspenden los servicios en la nube, su MSP puede perder algunas de las herramientas que utiliza para atenderle. La gestión de tickets, el acceso remoto o las tareas de copia de seguridad podrían retrasarse.
- Exposición de seguridad. Las herramientas de gestión remota tienen un acceso muy potente a muchos sistemas de clientes. Si un atacante llega al entorno del proveedor, la preocupación es si ese acceso podría dirigirse hacia los eslabones posteriores de la cadena.
Por eso un solo proveedor de gestión remota comprometido puede poner en riesgo a tantas organizaciones. Una sola intrusión puede tocar a cientos de empresas que nunca vieron al atacante. También encaja en un patrón más amplio: nuestra cobertura sobre bandas de ransomware que pasan a la supresión por zonas de redes de pymes explica por qué las organizaciones más pequeñas, a las que a menudo se llega mediante herramientas y proveedores compartidos, son objetivos atractivos.
Cómo comprobar si sus proveedores se vieron afectados
Puede que no sepa si su empresa forma parte de la cadena de ConnectWise. Algunos pasos le ayudan a averiguarlo:
- Pregunte directamente a su MSP. Pregunte si utiliza productos de ConnectWise y, de ser así, cuáles (soporte remoto, copia de seguridad, automatización u otros).
- Revise las comunicaciones del proveedor. Busque avisos de ConnectWise o de su MSP en su bandeja de entrada, incluida la carpeta de spam. Tenga cuidado con mensajes inesperados sobre el incidente, ya que los atacantes suelen aprovechar las noticias de brechas para el phishing.
- Revise sus propias cuentas. Consulte los registros de inicio de sesión de sus cuentas de correo electrónico y de productividad en la nube en busca de ubicaciones desconocidas, dispositivos nuevos o concesiones de permisos inesperadas.
- Revise el estado del servicio. Utilice las páginas de estado oficiales, no los enlaces de los correos electrónicos, para seguir la restauración de los servicios.
Si encuentra algo extraño, repórtelo a su proveedor de inmediato y mantenga un registro de lo que vio y cuándo.
Qué preguntar a su MSP o proveedor de software ahora
Este es un buen momento para hacer preguntas que quizá no haya hecho antes. Algunas razonables incluyen:
- ¿Estaban algunos de nuestros sistemas, cuentas o copias de seguridad conectados a los servicios afectados?
- ¿Le ha dicho el proveedor que se expusieron datos de clientes o credenciales?
- ¿Necesitamos rotar contraseñas, claves de API o tokens de acceso, y lo ha hecho ya para nuestro entorno?
- ¿Cuál es nuestro plan alternativo si sus herramientas remotas no están disponibles?
- ¿Cómo y cuándo nos informará si se entera de un impacto en nuestros datos?
Un buen proveedor debería poder responder con claridad, o decir honestamente que todavía está esperando los hallazgos del proveedor. Las empresas que confirman incidentes abiertamente, como vimos cuando McKesson confirmó una brecha tras reclamaciones de extorsión, dan a los clientes algo concreto sobre lo que actuar. El silencio es la señal para insistir más.
Qué significa esto para usted
Si dirige una pequeña empresa o depende de un MSP, la lección principal es que su seguridad depende en parte de proveedores que quizá nunca eligió. No puede parchear la nube de un proveedor, pero puede limitar el daño si se ve comprometida.
- Use contraseñas únicas y autenticación multifactor en cada cuenta que toque su proveedor.
- Mantenga al menos una copia de seguridad separada de sus principales herramientas de gestión.
- Sepa a quién llamar, y cómo, si las herramientas de su proveedor dejan de funcionar.
- Espere que los atacantes actúen rápidamente después de cualquier revelación. Investigaciones como la documentación de Sysdig sobre un ataque de ransomware con IA autónomo muestran la rapidez con la que pueden avanzar las intrusiones una vez obtenido el acceso.
Si usted es un consumidor individual, su exposición es mayormente indirecta, a través de una empresa que posee sus datos. Esté atento a los avisos de brechas y sea escéptico ante mensajes inesperados que mencionen el incidente.
Conclusiones prácticas
- Contacte a su proveedor de TI esta semana y pregunte si los servicios de ConnectWise forman parte de su configuración.
- Pregunte qué se vio afectado, qué han cambiado y si necesita restablecer alguna credencial.
- Revise la actividad de inicio de sesión en sus cuentas comerciales clave.
- Anote un plan sencillo para brechas de proveedores: a quién llamar, qué desconectar y cómo operar sin herramientas remotas durante uno o dos días.
- Siga las actualizaciones oficiales de ConnectWise y de su MSP en lugar de los rumores de terceros.
El ciberataque a ConnectWise y la suspensión de sus servicios en la nube siguen en desarrollo, y los detalles pueden cambiar. Hacer las preguntas correctas ahora le sitúa en una posición más fuerte sea cual sea lo que encuentre la investigación. Para más contexto sobre por qué las organizaciones más pequeñas siguen quedando en el punto de mira de los atacantes, lea nuestro artículo sobre bandas de ransomware dirigidas a redes de pymes, y luego comuníquese con su proveedor de TI hoy mismo.
