ConnectWise on keskeyttänyt joitakin pilvipalveluistaan vastauksena kyberhyökkäykseen SecurityWeekin raportin mukaan. ConnectWiseen kohdistunut kyberhyökkäys ja päätös keskeyttää pilvipalvelut ovat merkittäviä paljon laajemmin kuin yhden yrityksen tasolla, sillä ConnectWiren työkaluja käyttävät laajalti hallinnoituja palveluja tarjoavat yritykset (MSP:t) ja niiden tukemat pienyritykset.

Tämä kirjoitus on tarkoituksella varovainen. Käytettävissämme oleva lähdeaineisto vahvistaa otsikkotason tosiasian, että ConnectWise keskeytti pilvipalvelut hyökkäyksen jälkeen, mutta se ei kerro syytä, laajuutta tai sitä, mitkä asiakkaat olivat vaikutuksen alaisia. Emme arvaile näitä yksityiskohtia. Sen sijaan kerromme, mitä tilanne tarkoittaa käytännössä ja miten saat vastauksia henkilöiltä, jotka hallinnoivat IT-ympäristöäsi.

Mitä ConnectWise on toistaiseksi vahvistanut

Raportin ydin on yksinkertainen: ConnectWise otti pilvipalvelut pois käytöstä vastauksena kyberhyökkäykseen. Palvelun keskeyttäminen on tyypillisesti eristämistoimenpide, keino estää lisääntynyt luvaton pääsy tutkinnan aikana. Se ei itsessään todista, kuinka moni asiakas oli vaikutuksen alainen tai vietiinkö tietoja.

Tarkastelemamme artikkelin teksti sisälsi vain vähän otsikkoa enemmän, joten useat kysymykset ovat yhä avoimia:

  • Mitkä tietyt pilvipalvelut keskeytettiin ja kuinka pitkäksi aikaa
  • Miten hyökkääjät pääsivät sisään
  • Onko asiakastietoihin tai asiakasympäristöihin päästy käsiksi
  • Milloin palvelujen odotetaan palaavan

Jotkin muut ConnectWisea koskevat hakutulokset kuvaavat erillisiä tapauksia, mukaan lukien yksi, joka koski vaarantunutta Cloud Backup -tunnistetietoa ja Microsoft 365 -vuokraajiin. Emme voi vahvistaa, että nämä raportit kuvaavat samaa tapahtumaa, joten käsittele niitä taustatietona eikä vahvistettuna tosiasiana. Luotettava toimintatapa on odottaa ConnectWiren omia tiedotteita ja kysyä palveluntarjoajaltasi, mitä sinuun sovelletaan.

Miksi toimittajan katkos ulottuu tavallisiin asiakkaisiin

Useimmat pienyritykset eivät koskaan osta ConnectWireltä suoraan. Ne palkkaavat MSP:n, ja MSP käyttää ConnectWiren kaltaisia alustoja laitteiden valvontaan, päivitysten jakamiseen, etätukeen ja varmuuskopioiden hallintaan. Tämä muodostaa ketjun: toimittaja, MSP ja MSP:n monet asiakkaat.

Kun tämän ketjun keskellä olevaan toimittajaan hyökätään, kaksi asiaa voi tapahtua samanaikaisesti:

  1. Toiminnan häiriintyminen. Jos pilvipalvelut keskeytetään, MSP voi menettää joitakin työkaluista, joita se käyttää tukemiseen. Tiketöinti, etäkäyttö tai varmuuskopiointityöt voivat viivästyä.
  2. Turvallisuusaltistus. Etähallintatyökaluilla on vahva pääsy moniin asiakasjärjestelmiin. Jos hyökkääjä pääsee toimittajan ympäristöön, huolenaiheena on, voidaanko tätä pääsyä kohdistaa alavirtaan.

Tästä syystä yksi vaarantunut etähallintatoimittaja voi asettaa niin monet organisaatiot vaaraan. Yksi murto voi koskettaa satoja yrityksiä, jotka eivät koskaan nähneet hyökkääjää. Se sopii myös laajempaan kuvioon: käsittelymme siitä, miten kiristyshaittaohjelmajengit siirtyvät pk-yritysten verkkojen alueelliseen tukahduttamiseen, selittää, miksi pienemmät organisaatiot, joihin usein päästään käsiksi jaettujen työkalujen ja palveluntarjoajien kautta, ovat houkuttelevia kohteita.

Miten tarkistaa, ovatko palveluntarjoajasi olleet vaikutuksen alaisia

Et ehkä tiedä, onko yrityksesi lainkaan ConnectWise-ketjussa. Muutamat vaiheet auttavat selvittämään sen:

  • Kysy MSP:ltäsi suoraan. Kysy, käyttävätkö he ConnectWiren tuotteita ja jos käyttävät, mitä niistä (etätuki, varmuuskopiointi, automaatio tai muut).
  • Tarkista toimittajan viestintä. Etsi ConnectWiren tai MSP:si ilmoituksia sähköpostistasi, myös roskapostikansiosta. Ole varovainen odottamattomien tapahtumaa koskevien viestien kanssa, sillä hyökkääjät hyödyntävät usein tietomurtouutisia tietojenkalasteluun.
  • Tarkista omat tilisi. Katso sähköpostisi ja pilvituottavuustiliesi kirjautumislokeista tuntemattomia sijainteja, uusia laitteita tai odottamattomia käyttöoikeuksien myöntämisiä.
  • Tarkista palvelun tila. Käytä virallisia tilasivuja, älä sähköpostien linkkejä, seurataksesi palvelujen palautumista.

Jos havaitset jotain outoa, ilmoita siitä viipymättä palveluntarjoajallesi ja kirjaa ylös, mitä näit ja milloin.

Mitä kysyä MSP:ltäsi tai ohjelmistotoimittajaltasi nyt

Tämä on hyvä hetki kysyä kysymyksiä, joita et ehkä ole aiemmin kysynyt. Kohtuullisia kysymyksiä ovat muun muassa:

  • Oliko järjestelmiämme, tilejämme tai varmuuskopioitamme yhdistetty vaarantuneisiin palveluihin?
  • Onko toimittaja kertonut sinulle, että asiakastietoja tai tunnistetietoja on paljastunut?
  • Pitääkö salasanat, API-avaimet tai käyttöoikeustunnukset vaihtaa, ja oletko tehnyt niin ympäristössämme?
  • Mikä on varasuunnitelmamme, jos etätyökalusi eivät ole käytettävissä?
  • Miten ja milloin kerrot meille, jos saat tietää vaikutuksesta tietoihimme?

Hyvän palveluntarjoajan pitäisi pystyä vastaamaan selvästi tai sanomaan rehellisesti, että he odottavat yhä toimittajan tutkimustuloksia. Yritykset, jotka vahvistavat tapahtumat avoimesti, kuten näimme, kun McKesson vahvisti tietomurron kiristysvaatimusten jälkeen, antavat asiakkaille jotain konkreettista, mihin tarttua. Hiljaisuus on merkki siitä, että on painostettava kovemmin.

Mitä tämä tarkoittaa sinulle

Jos pyörität pienyritystä tai luotat MSP:hen, tärkein opetus on, että turvallisuutesi riippuu osittain toimittajista, joita et ehkä koskaan valinnut. Et voi paikata toimittajan pilveä, mutta voit rajoittaa vahinkoja, jos se vaarantuu.

  • Käytä yksilöllisiä salasanoja ja monivaiheista tunnistautumista jokaisessa tilissä, johon palveluntarjoajasi käsiksi pääsee.
  • Pidä vähintään yksi varmuuskopio erillään pääasiallisista hallintatyökaluistasi.
  • Tiedä, kehen ottaa yhteyttä ja miten, jos palveluntarjoajasi työkalut menevät offline-tilaan.
  • Odota hyökkääjien toimivan nopeasti minkä tahansa paljastuksen jälkeen. Tutkimukset, kuten Sysdigin dokumentaatio autonomisesta tekoälypohjaisesta kiristyshaittaohjelmahyökkäyksestä, osoittavat, kuinka nopeasti tunkeutumiset voivat edetä, kun pääsy on saavutettu.

Jos olet yksittäinen kuluttaja, altistuksesi on pääosin epäsuoraa, sellaisen yrityksen kautta, joka pitää hallussaan tietojasi. Seuraa tietomurtoilmoituksia ja suhtaudu skeptisesti odottamattomiin viesteihin, joissa tapahtuma mainitaan.

Käytännön toimenpiteet

  • Ota yhteyttä IT-palveluntarjoajaasi tällä viikolla ja kysy, ovatko ConnectWise-palvelut osa järjestelyäsi.
  • Kysy, mikä oli vaikutuksen alainen, mitä he ovat muuttaneet ja pitääkö sinun vaihtaa tunnistetietoja.
  • Tarkista keskeisten liiketoimintatiliesi kirjautumisaktiivisuus.
  • Kirjoita muistiin yksinkertainen toimittajan tietomurtosuunnitelma: kehen ottaa yhteyttä, mitä irrottaa ja miten toimia ilman etätyökaluja päivä tai kaksi.
  • Seuraa virallisia ConnectWiren ja MSP:n päivityksiä kolmannen osapuolen huhujen sijaan.

ConnectWiseen kohdistunut kyberhyökkäys ja sen pilvipalvelujen keskeyttäminen ovat yhä kehittymässä, ja yksityiskohdat voivat muuttua. Oikeiden kysymysten esittäminen nyt asettaa sinut vahvempaan asemaan riippumatta siitä, mitä tutkinta paljastaa. Lisätietoja siitä, miksi pienemmät organisaatiot päätyvät yhä uudelleen hyökkääjien tähtäimiin, löydät kirjoituksestamme kiristyshaittaohjelmajengeistä, jotka kohdistuvat pk-yritysten verkkoihin, ja ota sitten yhteyttä IT-palveluntarjoajaasi jo tänään.