ConnectWise je obustavio neke od svojih cloud usluga kao odgovor na cybernapad, prema izvješću SecurityWeeka. Cybernapad na ConnectWise i odluka o obustavi cloud usluga važni su daleko izvan jedne tvrtke, jer ConnectWise alate široko koriste pružatelji upravljanih usluga (MSP-ovi) i mala poduzeća koja podržavaju.

Ovaj je post namjerno oprezan. Izvorni materijal koji nam je dostupan potvrđuje glavnu činjenicu, da je ConnectWise obustavio cloud usluge nakon napada, ali ne navodi uzrok, opseg ni koje su stranke pogođene. Nećemo nagađati o tim detaljima. Umjesto toga, evo što situacija znači u praktičnom smislu i kako dobiti odgovore od ljudi koji upravljaju vašom IT infrastrukturom.

Što je ConnectWise dosad potvrdio

Srž izvješća je jednostavna: ConnectWise je isključio cloud usluge kao odgovor na cybernapad. Obustava usluge obično je korak zadržavanja, način da se zaustavi daljnji neovlašteni pristup dok traje istraga. To samo po sebi nije dokaz koliko je stranaka pogođeno ili jesu li podaci uzeti.

Tekst članka koji smo pregledali sadržavao je malo toga osim naslova, pa nekoliko pitanja ostaje otvoreno:

  • Koje su konkretne cloud usluge obustavljene i na koliko dugo
  • Kako su napadači ušli
  • Jesu li podaci stranaka ili okruženja stranaka bili pristupljeni
  • Kada se očekuje povratak usluga

Neki drugi rezultati pretraživanja o ConnectWiseu opisuju odvojene incidente, uključujući jedan koji uključuje kompromitirani Cloud Backup akreditiv i Microsoft 365 tenante. Ne možemo potvrditi da ti izvještaji opisuju isti događaj, stoga ih tretirajte kao kontekst, a ne kao utvrđenu činjenicu. Pouzdan potez je čekati ConnectWiseova vlastita savjetovanja i pitati svog pružatelja što se odnosi na vas.

Zašto prekid rada dobavljača pogađa obične korisnike

Većina malih poduzeća nikada ne kupuje izravno od ConnectWisea. Angažiraju MSP, a MSP koristi platforme poput ConnectWisea za nadzor uređaja, distribuciju ažuriranja, pružanje daljinske podrške i upravljanje sigurnosnim kopijama. To stvara lanac: dobavljač, MSP i brojni klijenti MSP-a.

Kada je dobavljač u sredini tog lanca napadnut, dvije stvari mogu se dogoditi istovremeno:

  1. Operativni prekid. Ako su cloud usluge obustavljene, vaš MSP može izgubiti neke od alata koje koristi za podršku. Rad na ticketima, daljinski pristup ili poslovi sigurnosnog kopiranja mogli bi kasniti.
  2. Sigurnosna izloženost. Alati za daljinsko upravljanje imaju snažan pristup mnogim sustavima korisnika. Ako napadač dosegne okruženje dobavljača, brine li se može li se taj pristup usmjeriti dalje niz lanac.

Zato jedan kompromitirani dobavljač alata za daljinsko upravljanje može ugroziti toliko mnogo organizacija. Jedan upad može dotaknuti stotine poduzeća koja nikada nisu vidjela napadača. To se također uklapa u širi obrazac: naše izvještavanje o ransomware bandama koje prelaze na područno potiskivanje mreža malih i srednjih poduzeća objašnjava zašto su manje organizacije, često dostupne kroz zajedničke alate i pružatelje, atraktivne mete.

Kako provjeriti jesu li vaši pružatelji pogođeni

Možda uopće ne znate je li vaše poslovanje u ConnectWise lancu. Nekoliko koraka pomaže da to saznate:

  • Pitajte svog MSP izravno. Pitajte koriste li ConnectWise proizvode i, ako da, koje (daljinska podrška, sigurnosno kopiranje, automatizacija ili druge).
  • Provjerite komunikaciju dobavljača. Potražite obavijesti od ConnectWisea ili svog MSP-a u svom pretincu, uključujući mapu neželjene pošte. Budite oprezni s neočekivanim porukama o incidentu, jer napadači često iskorištavaju vijesti o povredama za phishing.
  • Pregledajte svoje račune. Pogledajte zapisnike prijave za svoje račune e-pošte i cloud produktivnosti radi nepoznatih lokacija, novih uređaja ili neočekivanih dodjela dopuštenja.
  • Provjerite status usluge. Koristite službene stranice statusa, a ne poveznice u e-porukama, kako biste pratili obnovu usluga.

Ako pronađete nešto neobično, odmah to prijavite svom pružatelju i zabilježite što ste vidjeli i kada.

Što pitati svog MSP ili dobavljača softvera sada

Ovo je dobar trenutak za postavljanje pitanja koja možda nikad prije niste postavili. Razumna uključuju:

  • Jesu li naši sustavi, računi ili sigurnosne kopije bili povezani s pogođenim uslugama?
  • Je li vam dobavljač rekao da su podaci ili akreditivi stranaka bili izloženi?
  • Trebate li rotirati zaporke, API ključeve ili pristupne tokene i jeste li to učinili za naše okruženje?
  • Koji je naš plan za slučaj nedostupnosti ako vaši alati za daljinski rad nisu dostupni?
  • Kako i kada ćete nam reći ako saznate za utjecaj na naše podatke?

Dobar pružatelj trebao bi moći odgovoriti jasno ili iskreno reći da još čeka nalaze dobavljača. Tvrtke koje otvoreno potvrđuju incidente, kao što smo vidjeli kada je McKesson potvrdio povredu nakon zahtjeva za iznudom, daju korisnicima nešto konkretno na što mogu reagirati. Šutnja je znak da treba pritisnuti jače.

Što to znači za vas

Ako vodite malo poduzeće ili se oslanjate na MSP, glavna je lekcija da vaša sigurnost dijelom ovisi o dobavljačima koje možda nikada niste odabrali. Ne možete zakrpati cloud dobavljača, ali možete ograničiti štetu ako je kompromitiran.

  • Koristite jedinstvene zaporke i višefaktorsku autentifikaciju na svakom računu kojeg vaš pružatelj dotiče.
  • Držite barem jednu sigurnosnu kopiju odvojenu od vaših glavnih alata za upravljanje.
  • Znajte koga pozvati i kako ako alati vašeg pružatelja postanu nedostupni.
  • Očekujte da će napadači djelovati brzo nakon svake objave. Istraživanja poput Sysdigove dokumentacije autonomnog AI ransomware napada pokazuju kako brzo upadi mogu napredovati nakon stjecanja pristupa.

Ako ste pojedinačni potrošač, vaša je izloženost uglavnom neizravna, kroz tvrtku koja drži vaše podatke. Pazite na obavijesti o povredama i budite skeptični prema neočekivanim porukama koje spominju incident.

Ključni zaključci za djelovanje

  • Kontaktirajte svog IT pružatelja ovaj tjedan i pitajte jesu li ConnectWise usluge dio vašeg postava.
  • Pitajte što je bilo pogođeno, što su promijenili i trebate li resetirati bilo koje akreditive.
  • Pregledajte aktivnost prijave na svojim ključnim poslovnim računima.
  • Zapišite jednostavan plan za povredu kod dobavljača: koga pozvati, što odspojiti i kako poslovati bez alata za daljinski rad dan ili dva.
  • Pratite službena ConnectWise i MSP ažuriranja umjesto glasina trećih strana.

Cybernapad na ConnectWise i obustava njegovih cloud usluga još se razvijaju i detalji se mogu promijeniti. Postavljanje pravih pitanja sada stavlja vas u jači položaj bez obzira na to što istraga otkrije. Za više konteksta o tome zašto manje organizacije stalno završavaju na meti napadača, pročitajte naš članak o ransomware bandama koje ciljaju mreže malih i srednjih poduzeća, a zatim se danas obratite svom IT pružatelju.