ConnectWise a suspendu certains de ses services cloud en réponse à une cyberattaque, selon un rapport de SecurityWeek. La cyberattaque contre ConnectWise et la décision de suspendre ses services cloud ont des répercussions bien au-delà d'une seule entreprise, car les outils ConnectWise sont largement utilisés par les fournisseurs de services managés (MSP) et les petites entreprises qu'ils soutiennent.

Cet article est délibérément prudent. Les sources dont nous disposons confirment le fait principal, à savoir que ConnectWise a suspendu des services cloud après une attaque, mais elles ne précisent ni la cause, ni l'ampleur, ni les clients concernés. Nous ne spéculerons pas sur ces détails. Voici plutôt ce que la situation signifie concrètement et comment obtenir des réponses auprès des personnes qui gèrent votre informatique.

Ce que ConnectWise a confirmé jusqu'à présent

Le cœur du rapport est simple : ConnectWise a mis des services cloud hors ligne en réponse à une cyberattaque. Suspendre un service est généralement une mesure de confinement, un moyen d'arrêter tout accès non autorisé supplémentaire pendant qu'une enquête est en cours. Cela ne prouve pas, en soi, combien de clients ont été touchés ni si des données ont été dérobées.

Le texte de l'article que nous avons examiné ne contenait guère plus que le titre, de sorte que plusieurs questions restent ouvertes :

  • Quels services cloud spécifiques ont été suspendus, et pour combien de temps
  • Comment les attaquants sont entrés
  • Si des données clients ou des environnements clients ont été accédés
  • Quand les services devraient être rétablis

D'autres résultats de recherche sur ConnectWise décrivent des incidents distincts, dont un impliquant un identifiant Cloud Backup compromis et des tenants Microsoft 365. Nous ne pouvons pas confirmer que ces rapports décrivent le même événement, il faut donc les traiter comme du contexte plutôt que comme des faits établis. La démarche fiable consiste à attendre les propres avis de ConnectWise et à demander à votre fournisseur ce qui s'applique à votre cas.

Pourquoi une panne de fournisseur touche les clients ordinaires

La plupart des petites entreprises n'achètent jamais directement auprès de ConnectWise. Elles font appel à un MSP, et le MSP utilise des plateformes comme ConnectWise pour surveiller les appareils, pousser des mises à jour, fournir un support à distance et gérer les sauvegardes. Cela crée une chaîne : le fournisseur, le MSP et les nombreux clients du MSP.

Lorsqu'un fournisseur au milieu de cette chaîne est attaqué, deux choses peuvent se produire simultanément :

  1. Perturbation opérationnelle. Si des services cloud sont suspendus, votre MSP peut perdre certains des outils qu'il utilise pour vous soutenir. La gestion des tickets, l'accès à distance ou les tâches de sauvegarde pourraient être retardés.
  2. Exposition de sécurité. Les outils de gestion à distance disposent d'un accès puissant à de nombreux systèmes clients. Si un attaquant atteint l'environnement du fournisseur, la question est de savoir si cet accès pourrait être dirigé vers l'aval.

C'est pourquoi un seul fournisseur de gestion à distance compromis peut mettre en danger tant d'organisations. Une seule intrusion peut toucher des centaines d'entreprises qui n'ont jamais vu l'attaquant. Cela s'inscrit également dans un schéma plus large : notre couverture des gangs de rançongiciels qui se tournent vers la suppression de zones des réseaux de PME explique pourquoi les organisations plus petites, souvent atteintes via des outils et des fournisseurs partagés, sont des cibles attractives.

Comment vérifier si vos fournisseurs ont été touchés

Vous ne savez peut-être pas si votre entreprise fait partie de la chaîne ConnectWise. Quelques étapes vous aident à le découvrir :

  • Demandez directement à votre MSP. Demandez-lui s'il utilise des produits ConnectWise et, le cas échéant, lesquels (support à distance, sauvegarde, automatisation, ou autres).
  • Vérifiez les communications du fournisseur. Recherchez des avis de ConnectWise ou de votre MSP dans votre boîte de réception, y compris dans votre dossier de spam. Soyez prudent avec les messages inattendus concernant l'incident, car les attaquants exploitent souvent les actualités de violation pour du phishing.
  • Examinez vos propres comptes. Consultez les journaux de connexion de vos comptes de messagerie et de productivité cloud pour repérer des localisations inhabituelles, de nouveaux appareils ou des autorisations inattendues.
  • Consultez l'état des services. Utilisez les pages de statut officielles, et non les liens contenus dans les e-mails, pour suivre le rétablissement des services.

Si vous constatez quelque chose d'anormal, signalez-le rapidement à votre fournisseur et conservez une trace de ce que vous avez vu et quand.

Ce qu'il faut demander à votre MSP ou fournisseur de logiciels dès maintenant

C'est le bon moment pour poser des questions que vous n'avez peut-être jamais posées auparavant. Parmi les questions raisonnables :

  • Certains de nos systèmes, comptes ou sauvegardes étaient-ils connectés aux services touchés ?
  • Le fournisseur vous a-t-il indiqué que des données clients ou des identifiants avaient été exposés ?
  • Devez-vous changer les mots de passe, clés API ou jetons d'accès, et l'avez-vous fait pour notre environnement ?
  • Quelle est notre solution de repli si vos outils à distance sont indisponibles ?
  • Comment et quand nous informerez-vous si vous apprenez un impact sur nos données ?

Un bon fournisseur devrait pouvoir répondre clairement, ou dire honnêtement qu'il attend encore les conclusions du fournisseur. Les entreprises qui confirment ouvertement les incidents, comme nous l'avons vu lorsque McKesson a confirmé une violation après des revendications d'extorsion, donnent à leurs clients des éléments concrets sur lesquels agir. Le silence est le signal qu'il faut insister davantage.

Ce que cela signifie pour vous

Si vous dirigez une petite entreprise ou dépendez d'un MSP, la principale leçon est que votre sécurité dépend en partie de fournisseurs que vous n'avez peut-être jamais choisis. Vous ne pouvez pas corriger le cloud d'un fournisseur, mais vous pouvez limiter les dégâts s'il est compromis.

  • Utilisez des mots de passe uniques et l'authentification multifacteur sur chaque compte que votre fournisseur touche.
  • Conservez au moins une sauvegarde séparée de vos principaux outils de gestion.
  • Sachez qui appeler, et comment, si les outils de votre fournisseur tombent en panne.
  • Attendez-vous à ce que les attaquants agissent rapidement après toute divulgation. Des recherches telles que la documentation de Sysdig sur une attaque de rançongiciel entièrement autonome par IA montrent à quelle vitesse les intrusions peuvent progresser une fois l'accès obtenu.

Si vous êtes un consommateur individuel, votre exposition est surtout indirecte, via une entreprise qui détient vos données. Surveillez les avis de violation et soyez sceptique face aux messages inattendus qui mentionnent l'incident.

Points clés à retenir

  • Contactez votre fournisseur informatique cette semaine et demandez si les services ConnectWise font partie de votre configuration.
  • Demandez ce qui a été touché, ce qu'il a changé et si vous devez réinitialiser des identifiants.
  • Examinez l'activité de connexion sur vos comptes professionnels clés.
  • Rédigez un plan simple en cas de violation chez un fournisseur : qui appeler, quoi déconnecter et comment fonctionner sans outils à distance pendant un jour ou deux.
  • Suivez les mises à jour officielles de ConnectWise et de votre MSP plutôt que les rumeurs de tiers.

La cyberattaque contre ConnectWise et la suspension de ses services cloud sont en cours d'évolution, et les détails peuvent changer. Poser les bonnes questions dès maintenant vous place en meilleure position quelles que soient les conclusions de l'enquête. Pour plus de contexte sur les raisons pour lesquelles les organisations plus petites continuent de se retrouver dans le viseur des attaquants, lisez notre article sur les gangs de rançongiciels ciblant les réseaux de PME, puis contactez votre fournisseur informatique dès aujourd'hui.