A SecurityWeek jelentése szerint a ConnectWise felfüggesztette egyes felhőszolgáltatásait egy kibertámadásra válaszul. A ConnectWise elleni kibertámadás és a felhőszolgáltatások felfüggesztéséről szóló döntés jóval túlmutat egyetlen vállalaton, mert a ConnectWise eszközeit széles körben használják a menedzselt szolgáltatók (MSP-k) és az általuk támogatott kisvállalkozások.

Ez a bejegyzés szándékosan óvatos. A rendelkezésünkre álló forrásanyag megerősíti a fő tényt, miszerint a ConnectWise egy támadás után felfüggesztette felhőszolgáltatásait, de nem fejti ki az okot, a hatókört, vagy azt, hogy mely ügyfeleket érintette. Nem találgatunk ezekről a részletekről. Ehelyett bemutatjuk, mit jelent a helyzet a gyakorlatban, és hogyan kaphat válaszokat azoktól, akik az Ön IT-rendszereit kezelik.

Amit a ConnectWise eddig megerősített

A jelentés lényege egyszerű: a ConnectWise egy kibertámadásra válaszul offline állította felhőszolgáltatásait. Egy szolgáltatás felfüggesztése jellemzően egy elszigetelési lépés, amelynek célja a további jogosulatlan hozzáférés megakadályozása a vizsgálat ideje alatt. Ez önmagában nem bizonyítja, hogy hány ügyfelet érintett a támadás, vagy hogy történt-e adatkinyerés.

Az általunk áttekintett cikkszöveg a címen kívül keveset tartalmazott, így több kérdés is nyitva marad:

  • Mely konkrét felhőszolgáltatásokat függesztették fel, és mennyi időre
  • Hogyan jutottak be a támadók
  • Hozzáfértek-e ügyféladatokhoz vagy ügyfélkörnyezetekhez
  • Mikorra várható a szolgáltatások visszaállítása

A ConnectWise-ról szóló egyéb keresési találatok külön incidenseket írnak le, köztük egyet, amely egy kompromittált Cloud Backup hitelesítő adatot és Microsoft 365 bérlőket érint. Nem tudjuk megerősíteni, hogy ezek a jelentések ugyanazt az eseményt írják le, ezért kezelje őket kontextusként, nem pedig megállapított tényként. A megbízható lépés az, hogy megvárja a ConnectWise saját közleményeit, és megkérdezze szolgáltatóját, hogy mi vonatkozik Önre.

Miért érinti a szolgáltató kiesése a hétköznapi ügyfeleket

A legtöbb kisvállalkozás soha nem vásárol közvetlenül a ConnectWise-tól. MSP-t fogad fel, és az MSP olyan platformokat használ, mint a ConnectWise, hogy eszközöket figyeljen, frissítéseket telepítsen, távoli támogatást nyújtson és biztonsági mentéseket kezeljen. Ez egy láncot hoz létre: a szolgáltató, az MSP és az MSP számos ügyfele.

Amikor a lánc közepén lévő szolgáltatót támadás éri, egyszerre két dolog történhet:

  1. Működési zavar. Ha a felhőszolgáltatásokat felfüggesztik, az MSP elveszítheti az ügyfelei támogatásához használt eszközök egy részét. A jegykezelés, a távoli hozzáférés vagy a biztonsági mentési feladatok késhetnek.
  2. Biztonsági kitettség. A távoli felügyeleti eszközök erőteljes hozzáféréssel rendelkeznek számos ügyfélrendszerhez. Ha egy támadó eléri a szolgáltató környezetét, a kérdés az, hogy ez a hozzáférés irányítható-e lefelé a láncban.

Ez az oka annak, hogy egyetlen kompromittált távoli felügyeleti szolgáltató ennyi szervezetet sodorhat veszélybe. Egyetlen betörés több száz olyan vállalkozást érinthet, amelyek soha nem látták a támadót. Ez egy szélesebb mintába is illeszkedik: a zsarolóvírus-bandák áttéréséről a kkv-hálózatok területi elnyomására szóló tudósításunk elmagyarázza, miért vonzó célpontok a kisebb szervezetek, amelyeket gyakran megosztott eszközökön és szolgáltatókon keresztül érnek el.

Hogyan ellenőrizheti, hogy érintettek-e a szolgáltatói

Lehet, hogy nem is tudja, hogy vállalkozása egyáltalán benne van-e a ConnectWise-láncban. Néhány lépés segít kideríteni:

  • Kérdezze meg közvetlenül az MSP-jét. Kérdezze meg, hogy használnak-e ConnectWise-termékeket, és ha igen, melyeket (távoli támogatás, biztonsági mentés, automatizálás vagy mások).
  • Ellenőrizze a szolgáltatói kommunikációt. Keressen értesítéseket a ConnectWise-tól vagy az MSP-jétől a postaládájában, beleértve a spam mappát is. Legyen óvatos az incidenssel kapcsolatos váratlan üzenetekkel, mivel a támadók gyakran kihasználják az adatszivárgási híreket adathalászatra.
  • Tekintse át saját fiókjait. Nézze meg e-mail- és felhőalapú produktivitási fiókjainak bejelentkezési naplóit ismeretlen helyszínek, új eszközök vagy váratlan engedélyezések után kutatva.
  • Ellenőrizze a szolgáltatás állapotát. Használjon hivatalos állapotoldalakat, ne az e-mailekben lévő linkeket, hogy nyomon kövesse a szolgáltatások visszaállítását.

Ha valami furcsát talál, haladéktalanul jelentse szolgáltatójának, és jegyezze fel, mit látott és mikor.

Mit kérdezzen meg most az MSP-jétől vagy szoftverszolgáltatójától

Ez jó alkalom arra, hogy olyan kérdéseket tegyen fel, amelyeket korábban talán nem tett fel. Ésszerű kérdések például:

  • Össze volt-e kapcsolva bármely rendszerünk, fiókunk vagy biztonsági mentésünk az érintett szolgáltatásokkal?
  • Elmondta-e a szolgáltató Önnek, hogy ügyféladatok vagy hitelesítő adatok kerültek ki?
  • Szükséges-e jelszavakat, API-kulcsokat vagy hozzáférési tokeneket cserélni, és megtették-e ezt a mi környezetünkben?
  • Mi a tartalék megoldásunk, ha az Ön távoli eszközei nem elérhetők?
  • Hogyan és mikor értesítenek minket, ha tudomást szereznek az adatainkat érintő hatásról?

Egy jó szolgáltatónak világosan kell tudnia válaszolni, vagy őszintén megmondani, hogy még a szolgáltató megállapításaira vár. Azok a vállalatok, amelyek nyíltan megerősítik az incidenseket – ahogy láttuk, amikor a McKesson megerősítette az adatszivárgást a zsarolási követelések után –, konkrét támpontot adnak ügyfeleiknek a cselekvéshez. A hallgatás annak a jele, hogy tovább kell feszegetni a kérdést.

Mit jelent ez Önnek

Ha kisvállalkozást vezet, vagy MSP-re támaszkodik, a fő tanulság az, hogy biztonsága részben olyan szolgáltatóktól függ, amelyeket talán soha nem is választott. Nem tudja lefoltozni egy beszállító felhőjét, de korlátozhatja a kárt, ha az kompromittálódik.

  • Használjon egyedi jelszavakat és többtényezős hitelesítést minden fiókon, amelyhez szolgáltatója hozzáfér.
  • Tartson legalább egy biztonsági mentést, amely el van különítve a fő felügyeleti eszközeitől.
  • Tudja, kit kell hívni, és hogyan, ha szolgáltatója eszközei offline állapotba kerülnek.
  • Számítson arra, hogy a támadók bármilyen nyilvánosságra hozatal után gyorsan mozognak. Az olyan kutatások, mint a Sysdig önálló AI zsarolóvírus-támadás dokumentálása, megmutatják, milyen gyorsan haladhatnak a behatolások, miután hozzáférést szereztek.

Ha Ön magánszemély fogyasztó, kitettsége többnyire közvetett, egy olyan vállalkozáson keresztül, amely az adatait tárolja. Figyelje az adatszivárgási értesítéseket, és legyen szkeptikus az incidensre hivatkozó váratlan üzenetekkel szemben.

Gyakorlati tanácsok

  • Lépjen kapcsolatba IT-szolgáltatójával ezen a héten, és kérdezze meg, hogy a ConnectWise szolgáltatásai részei-e az Ön rendszerének.
  • Kérdezze meg, mi érintett, mit változtattak, és kell-e bármilyen hitelesítő adatot visszaállítani.
  • Tekintse át a bejelentkezési tevékenységet kulcsfontosságú üzleti fiókjain.
  • Írjon le egy egyszerű szolgáltatói adatszivárgási tervet: kit kell hívni, mit kell leválasztani, és hogyan kell működni távoli eszközök nélkül egy-két napig.
  • Kövesse a hivatalos ConnectWise és MSP-frissítéseket, ne a harmadik féltől származó pletykákat.

A ConnectWise elleni kibertámadás és felhőszolgáltatásainak felfüggesztése még alakulóban van, és a részletek változhatnak. A megfelelő kérdések feltevése most erősebb helyzetbe hozza Önt, bármit is állapít meg a vizsgálat. Ha több kontextust szeretne arról, miért kerülnek a kisebb szervezetek újra és újra a támadók látókörébe, olvassa el cikkünket a kkv-hálózatokat célzó zsarolóvírus-bandákról, majd még ma forduljon IT-szolgáltatójához.