ConnectWise ha sospeso alcuni dei suoi servizi cloud in risposta a un attacco informatico, secondo un rapporto di SecurityWeek. L'attacco informatico a ConnectWise e la decisione di sospendere i suoi servizi cloud hanno un'importanza che va ben oltre una singola azienda, perché gli strumenti di ConnectWise sono ampiamente utilizzati dai managed service provider (MSP) e dalle piccole imprese che essi supportano.

Questo articolo è volutamente cauto. Il materiale di partenza a nostra disposizione conferma il fatto principale, ovvero che ConnectWise ha sospeso i servizi cloud dopo un attacco, ma non chiarisce la causa, la portata o quali clienti siano stati colpiti. Non faremo supposizioni su questi dettagli. Invece, ecco cosa significa la situazione in termini pratici e come ottenere risposte dalle persone che gestiscono la vostra IT.

Cosa ha confermato finora ConnectWise

Il nocciolo del rapporto è semplice: ConnectWise ha messo offline i servizi cloud in risposta a un attacco informatico. Sospendere un servizio è tipicamente una misura di contenimento, un modo per fermare ulteriori accessi non autorizzati mentre è in corso un'indagine. Non è, di per sé, una prova di quanti clienti siano stati colpiti o se siano stati sottratti dati.

Il testo dell'articolo che abbiamo esaminato conteneva poco oltre il titolo, quindi diverse domande restano aperte:

  • Quali specifici servizi cloud siano stati sospesi, e per quanto tempo
  • Come siano entrati gli attaccanti
  • Se siano stati acceduti dati dei clienti o ambienti dei clienti
  • Quando si prevede il ripristino dei servizi

Altri risultati di ricerca su ConnectWise descrivono incidenti separati, incluso uno riguardante una credenziale di Cloud Backup compromessa e tenant di Microsoft 365. Non possiamo confermare che quei rapporti descrivano lo stesso evento, quindi trattateli come contesto anziché come fatto accertato. La mossa affidabile è attendere gli avvisi ufficiali di ConnectWise e chiedere al vostro provider cosa si applica a voi.

Perché un'interruzione di un fornitore raggiunge i clienti comuni

La maggior parte delle piccole imprese non acquista mai direttamente da ConnectWise. Assumono un MSP, e l'MSP utilizza piattaforme come ConnectWise per monitorare i dispositivi, distribuire aggiornamenti, fornire supporto remoto e gestire i backup. Questo crea una catena: il fornitore, l'MSP e i molti clienti dell'MSP.

Quando un fornitore nel mezzo di quella catena viene attaccato, possono verificarsi due cose contemporaneamente:

  1. Interruzione operativa. Se i servizi cloud vengono sospesi, il vostro MSP potrebbe perdere alcuni degli strumenti che utilizza per supportarvi. I ticket, l'accesso remoto o i processi di backup potrebbero subire ritardi.
  2. Esposizione alla sicurezza. Gli strumenti di gestione remota detengono un accesso potente a molti sistemi dei clienti. Se un attaccante raggiunge l'ambiente del fornitore, la preoccupazione è se tale accesso possa essere indirizzato a valle.

Ecco perché un singolo fornitore di gestione remota compromesso può mettere a rischio così tante organizzazioni. Una sola intrusione può toccare centinaia di imprese che non hanno mai visto l'attaccante. Si inserisce anche in un modello più ampio: la nostra copertura su come le gang ransomware si stanno spostando verso la soppressione per aree delle reti delle PMI spiega perché le organizzazioni più piccole, spesso raggiunte tramite strumenti e provider condivisi, siano obiettivi attraenti.

Come verificare se i vostri provider sono stati colpiti

Potreste non sapere affatto se la vostra azienda si trovi nella catena di ConnectWise. Alcuni passaggi vi aiutano a scoprirlo:

  • Chiedete direttamente al vostro MSP. Chiedete se utilizzano prodotti ConnectWise e, in tal caso, quali (supporto remoto, backup, automazione o altri).
  • Controllate le comunicazioni dei fornitori. Cercate avvisi da ConnectWise o dal vostro MSP nella vostra casella di posta, inclusa la cartella spam. Fate attenzione ai messaggi inaspettati sull'incidente, poiché gli attaccanti sfruttano spesso le notizie sulle violazioni per il phishing.
  • Esaminate i vostri account. Controllate i log di accesso alle vostre caselle di posta e ai vostri account di produttività cloud per individuare località sconosciute, nuovi dispositivi o concessioni di autorizzazioni inaspettate.
  • Controllate lo stato dei servizi. Utilizzate le pagine di stato ufficiali, non i link nelle email, per seguire il ripristino dei servizi.

Se trovate qualcosa di strano, segnalatelo prontamente al vostro provider e conservate un registro di ciò che avete visto e quando.

Cosa chiedere ora al vostro MSP o fornitore di software

Questo è un buon momento per porre domande che forse non avete mai fatto prima. Quelle ragionevoli includono:

  • I nostri sistemi, account o backup erano collegati ai servizi colpiti?
  • Il fornitore vi ha detto che dati dei clienti o credenziali sono stati esposti?
  • Dobbiamo ruotare password, chiavi API o token di accesso, e lo avete fatto per il nostro ambiente?
  • Qual è il nostro piano di riserva se i vostri strumenti remoti non sono disponibili?
  • Come e quando ci informerete se venite a conoscenza di un impatto sui nostri dati?

Un buon provider dovrebbe essere in grado di rispondere chiaramente, o dire onestamente che sta ancora aspettando i risultati del fornitore. Le aziende che confermano apertamente gli incidenti, come abbiamo visto quando McKesson ha confermato una violazione dopo le rivendicazioni di estorsione, danno ai clienti qualcosa di concreto su cui agire. Il silenzio è il segnale per insistere di più.

Cosa significa per voi

Se gestite una piccola impresa o dipendete da un MSP, la lezione principale è che la vostra sicurezza dipende in parte da fornitori che potreste non aver mai scelto. Non potete mettere una pezza al cloud di un fornitore, ma potete limitare i danni se viene compromesso.

  • Utilizzate password uniche e l'autenticazione a più fattori su ogni account toccato dal vostro provider.
  • Mantenete almeno un backup separato dai vostri strumenti di gestione principali.
  • Sappiate chi chiamare, e come, se gli strumenti del vostro provider vanno offline.
  • Aspettatevi che gli attaccanti si muovano rapidamente dopo qualsiasi divulgazione. Ricerche come la documentazione di Sysdig su un attacco ransomware autonomo basato sull'IA mostrano quanto velocemente possano progredire le intrusioni una volta ottenuto l'accesso.

Se siete un consumatore individuale, la vostra esposizione è per lo più indiretta, attraverso un'azienda che detiene i vostri dati. Fate attenzione agli avvisi di violazione e siate scettici nei confronti di messaggi inaspettati che menzionano l'incidente.

Punti d'azione concreti

  • Contattate il vostro provider IT questa settimana e chiedete se i servizi ConnectWise fanno parte della vostra configurazione.
  • Chiedete cosa è stato colpito, cosa hanno cambiato e se dovete reimpostare qualche credenziale.
  • Esaminate l'attività di accesso sui vostri account aziendali chiave.
  • Scrivete un semplice piano per le violazioni dei fornitori: chi chiamare, cosa disconnettere e come operare senza strumenti remoti per un giorno o due.
  • Seguite gli aggiornamenti ufficiali di ConnectWise e dell'MSP anziché le voci di terze parti.

L'attacco informatico a ConnectWise e la sospensione dei suoi servizi cloud sono ancora in evoluzione, e i dettagli potrebbero cambiare. Porre le domande giuste ora vi mette in una posizione più forte qualunque cosa scopra l'indagine. Per maggiori contesto sul perché le organizzazioni più piccole continuino a finire nel mirino degli attaccanti, leggete il nostro articolo su come le gang ransomware prendono di mira le reti delle PMI, poi contattate il vostro provider IT oggi stesso.