ConnectWise telah menangguhkan beberapa layanan cloud-nya sebagai respons terhadap serangan siber, menurut laporan SecurityWeek. Serangan siber ConnectWise dan keputusan untuk menangguhkan layanan cloud-nya berdampak jauh melampaui satu perusahaan, karena alat ConnectWise digunakan secara luas oleh penyedia layanan terkelola (MSP) dan bisnis kecil yang mereka dukung.

Artikel ini sengaja dibuat dengan hati-hati. Sumber materi yang tersedia bagi kami mengonfirmasi fakta utama, bahwa ConnectWise menangguhkan layanan cloud setelah serangan, tetapi tidak menjelaskan penyebab, cakupan, atau pelanggan mana yang terdampak. Kami tidak akan menebak-nebak detail tersebut. Sebagai gantinya, berikut adalah apa arti situasi ini secara praktis dan bagaimana mendapatkan jawaban dari orang-orang yang mengelola TI Anda.

Apa yang telah dikonfirmasi ConnectWise sejauh ini

Inti dari laporan tersebut sederhana: ConnectWise menonaktifkan layanan cloud sebagai respons terhadap serangan siber. Menangguhkan layanan biasanya merupakan langkah pengendalian, cara untuk menghentikan akses tidak sah lebih lanjut selama investigasi berjalan. Itu sendiri bukan bukti berapa banyak pelanggan yang terdampak atau apakah ada data yang diambil.

Teks artikel yang kami tinjau tidak memuat banyak hal selain judul, sehingga beberapa pertanyaan masih terbuka:

  • Layanan cloud spesifik mana yang ditangguhkan, dan untuk berapa lama
  • Bagaimana penyerang masuk
  • Apakah data pelanggan atau lingkungan pelanggan diakses
  • Kapan layanan diperkirakan kembali

Beberapa hasil pencarian lain tentang ConnectWise menggambarkan insiden terpisah, termasuk satu yang melibatkan kredensial Cloud Backup yang dikompromikan dan tenant Microsoft 365. Kami tidak dapat mengonfirmasi bahwa laporan tersebut menggambarkan peristiwa yang sama, jadi perlakukan itu sebagai konteks bukan fakta yang mapan. Langkah yang dapat diandalkan adalah menunggu advisori ConnectWise sendiri dan bertanya kepada penyedia Anda apa yang berlaku bagi Anda.

Mengapa gangguan vendor mencapai pelanggan biasa

Sebagian besar bisnis kecil tidak pernah membeli langsung dari ConnectWise. Mereka menyewa MSP, dan MSP menggunakan platform seperti ConnectWise untuk memantau perangkat, mendorong pembaruan, menyediakan dukungan jarak jauh, dan mengelola cadangan. Itu menciptakan rantai: vendor, MSP, dan banyak klien MSP.

Ketika vendor di tengah rantai tersebut diserang, dua hal dapat terjadi sekaligus:

  1. Gangguan operasional. Jika layanan cloud ditangguhkan, MSP Anda mungkin kehilangan sebagian alat yang digunakan untuk mendukung Anda. Tiket, akses jarak jauh, atau pekerjaan cadangan bisa tertunda.
  2. Paparan keamanan. Alat manajemen jarak jauh menyimpan akses yang kuat ke banyak sistem pelanggan. Jika penyerang mencapai lingkungan vendor, kekhawatirannya adalah apakah akses itu dapat diarahkan ke hilir.

Inilah sebabnya satu vendor manajemen jarak jauh yang dikompromikan dapat menempatkan begitu banyak organisasi dalam risiko. Satu pembobolan dapat menyentuh ratusan bisnis yang tidak pernah melihat penyerangnya. Ini juga sesuai dengan pola yang lebih luas: liputan kami tentang geng ransomware yang beralih ke penekanan area pada jaringan UKM menjelaskan mengapa organisasi yang lebih kecil, yang sering dijangkau melalui alat dan penyedia bersama, menjadi target yang menarik.

Cara memeriksa apakah penyedia Anda terdampak

Anda mungkin tidak tahu apakah bisnis Anda sama sekali berada dalam rantai ConnectWise. Beberapa langkah membantu Anda mengetahuinya:

  • Tanyakan langsung kepada MSP Anda. Tanyakan apakah mereka menggunakan produk ConnectWise dan, jika ya, yang mana (dukungan jarak jauh, cadangan, otomatisasi, atau lainnya).
  • Periksa komunikasi vendor. Cari pemberitahuan dari ConnectWise atau MSP Anda di kotak masuk Anda, termasuk folder spam. Berhati-hatilah dengan pesan tak terduga tentang insiden tersebut, karena penyerang sering memanfaatkan berita pelanggaran untuk phishing.
  • Tinjau akun Anda sendiri. Periksa log masuk untuk akun email dan produktivitas cloud Anda untuk lokasi yang tidak dikenal, perangkat baru, atau pemberian izin yang tidak terduga.
  • Tinjau status layanan. Gunakan halaman status resmi, bukan tautan dalam email, untuk memantau pemulihan layanan.

Jika Anda menemukan sesuatu yang aneh, laporkan kepada penyedia Anda segera dan catat apa yang Anda lihat dan kapan.

Apa yang perlu ditanyakan kepada MSP atau vendor perangkat lunak Anda sekarang

Ini adalah momen yang baik untuk mengajukan pertanyaan yang mungkin belum pernah Anda ajukan sebelumnya. Pertanyaan yang wajar meliputi:

  • Apakah ada sistem, akun, atau cadangan kami yang terhubung ke layanan yang terdampak?
  • Apakah vendor memberi tahu Anda bahwa data pelanggan atau kredensial terekspos?
  • Apakah Anda perlu merotasi kata sandi, kunci API, atau token akses, dan apakah Anda sudah melakukannya untuk lingkungan kami?
  • Apa rencana cadangan kami jika alat jarak jauh Anda tidak tersedia?
  • Bagaimana dan kapan Anda akan memberi tahu kami jika Anda mengetahui adanya dampak pada data kami?

Penyedia yang baik harus dapat menjawab dengan lugas, atau mengatakan dengan jujur bahwa mereka masih menunggu temuan vendor. Perusahaan yang mengonfirmasi insiden secara terbuka, seperti yang kita lihat ketika McKesson mengonfirmasi pelanggaran setelah klaim pemerasan, memberi pelanggan sesuatu yang konkret untuk ditindaklanjuti. Diam adalah sinyal untuk mendesak lebih keras.

Apa Artinya Bagi Anda

Jika Anda menjalankan bisnis kecil atau mengandalkan MSP, pelajaran utamanya adalah bahwa keamanan Anda sebagian bergantung pada vendor yang mungkin tidak pernah Anda pilih. Anda tidak dapat menambal cloud pemasok, tetapi Anda dapat membatasi kerusakan jika cloud tersebut dikompromikan.

  • Gunakan kata sandi unik dan autentikasi multi-faktor pada setiap akun yang disentuh penyedia Anda.
  • Simpan setidaknya satu cadangan yang terpisah dari alat manajemen utama Anda.
  • Ketahui siapa yang harus dihubungi, dan bagaimana, jika alat penyedia Anda offline.
  • Perkirakan penyerang bergerak cepat setelah pengungkapan apa pun. Penelitian seperti dokumentasi Sysdig tentang serangan ransomware AI otonom menunjukkan seberapa cepat intrusi dapat berkembang setelah akses diperoleh.

Jika Anda adalah konsumen individu, paparan Anda sebagian besar bersifat tidak langsung, melalui bisnis yang menyimpan data Anda. Perhatikan pemberitahuan pelanggaran dan bersikap skeptis terhadap pesan tak terduga yang menyebutkan insiden tersebut.

Poin penting yang dapat ditindaklanjuti

  • Hubungi penyedia TI Anda minggu ini dan tanyakan apakah layanan ConnectWise adalah bagian dari pengaturan Anda.
  • Tanyakan apa yang terdampak, apa yang telah mereka ubah, dan apakah Anda perlu mereset kredensial apa pun.
  • Tinjau aktivitas masuk pada akun bisnis utama Anda.
  • Tuliskan rencana pelanggaran vendor yang sederhana: siapa yang harus dihubungi, apa yang harus diputus, dan bagaimana beroperasi tanpa alat jarak jauh selama satu atau dua hari.
  • Ikuti pembaruan resmi ConnectWise dan MSP daripada rumor pihak ketiga.

Serangan siber ConnectWise dan penangguhan layanan cloud-nya masih berkembang, dan detailnya dapat berubah. Mengajukan pertanyaan yang tepat sekarang menempatkan Anda pada posisi yang lebih kuat apa pun yang ditemukan investigasi. Untuk konteks lebih lanjut tentang mengapa organisasi yang lebih kecil terus menjadi sasaran penyerang, baca artikel kami tentang geng ransomware yang menargetkan jaringan UKM, lalu hubungi penyedia TI Anda hari ini.