SecurityWeekの報道によると、ConnectWiseはサイバー攻撃への対応として一部のクラウドサービスの提供を停止した。このConnectWiseへのサイバー攻撃とクラウドサービス停止の決定は、一企業にとどまらない意味を持つ。ConnectWiseのツールはマネージドサービスプロバイダー（MSP）と、彼らが支援する中小企業によって広く利用されているからだ。

本記事は意図的に慎重な姿勢を取っている。入手可能な資料が裏付けているのは、ConnectWiseが攻撃を受けてクラウドサービスを停止したという見出しの事実のみであり、原因、範囲、影響を受けた顧客については明らかにしていない。これらの詳細について推測することはしない。代わりに、この状況が実際に何を意味するのか、そしてITを管理する担当者からどう答えを引き出すかを示す。

ConnectWiseがこれまでに確認していること

報道の核心はシンプルだ。ConnectWiseはサイバー攻撃への対応としてクラウドサービスをオフラインにした。サービスの停止は通常、封じ込め措置であり、調査が進む間にさらなる不正アクセスを防ぐための手段である。それ自体は、影響を受けた顧客の数やデータが持ち出されたかどうかを証明するものではない。

我々が確認した記事本文は見出し以上の内容をほとんど含んでおらず、いくつかの疑問は未解決のままだ。

  • どのクラウドサービスが具体的に停止され、いつまで続くのか
  • 攻撃者はどのように侵入したのか
  • 顧客データや顧客環境にアクセスされたのか
  • サービスがいつ復旧する見込みか

ConnectWiseに関する他の検索結果には、別のインシデントが記載されている。その一つはCloud Backupの認証情報とMicrosoft 365テナントが侵害された事案である。これらの報道が同じ事象を指しているかは確認できないため、確定した事実ではなく文脈として扱うべきだ。信頼できる対応は、ConnectWise自身の勧告を待ち、自社に何が当てはまるかをプロバイダーに尋ねることである。

ベンダーの障害が一般顧客にまで及ぶ理由

ほとんどの中小企業はConnectWiseから直接製品を購入することはない。MSPを雇い、そのMSPがConnectWiseのようなプラットフォームを使ってデバイスの監視、アップデートの配信、リモートサポートの提供、バックアップの管理を行う。これにより、ベンダー、MSP、そしてMSPの多数の顧客という連鎖が生まれる。

その連鎖の途中にいるベンダーが攻撃を受けると、二つのことが同時に起こり得る。

  1. 運用上の混乱。 クラウドサービスが停止されれば、MSPは顧客支援に使うツールの一部を失う可能性がある。チケット処理、リモートアクセス、バックアップジョブが遅延する可能性がある。
  2. セキュリティ上の露出。 リモート管理ツールは多くの顧客システムへの強力なアクセス権を持つ。攻撃者がベンダーの環境に到達した場合、そのアクセスが下流に向けられるのではないかという懸念が生じる。

これが、一つの侵害されたリモート管理ベンダーがこれほど多くの組織を危険にさらし得る理由である。一度の侵入が、攻撃者を一度も見ることのなかった何百もの企業に影響を及ぼし得る。これはより広いパターンにも当てはまる。中小企業ネットワークのエリア制圧に移行するランサムウェア集団に関する我々の報道は、共有ツールやプロバイダーを通じてしばしば到達される小規模組織が、なぜ魅力的な標的となるのかを説明している。

プロバイダーが影響を受けたかどうかを確認する方法

自社がConnectWiseの連鎖に含まれるかどうかすら分からないかもしれない。いくつかの手順で確認できる。

  • MSPに直接尋ねる。 ConnectWise製品を使用しているか、使用している場合はどれか（リモートサポート、バックアップ、自動化など）を尋ねる。
  • ベンダーからの通信を確認する。 ConnectWiseやMSPからの通知を、迷惑メールフォルダも含めて受信箱で探す。インシデントに関する予期しないメッセージには注意する。攻撃者はしばしば侵害のニュースをフィッシングに悪用するからだ。
  • 自身のアカウントを確認する。 メールやクラウドの生産性アカウントのサインインログで、不慣れな場所、新しいデバイス、予期しない権限付与がないか確認する。
  • サービスの状態を確認する。 メール内のリンクではなく、公式のステータスページを使ってサービスの復旧状況を追う。

異常を見つけた場合は、速やかにプロバイダーに報告し、何をいつ見たかの記録を残す。

今MSPやソフトウェアベンダーに尋ねるべきこと

これまで尋ねたことのない質問をする良い機会である。妥当な質問には次のようなものがある。

  • 当社のシステム、アカウント、バックアップのいずれかが影響を受けたサービスに接続されていたか
  • 顧客データや認証情報が露出したとベンダーから伝えられたか
  • パスワード、APIキー、アクセストークンをローテーションする必要があるか、当社環境について実施済みか
  • リモートツールが利用できない場合の代替手段は何か
  • 当社データへの影響を知った場合、いつどのように伝えるのか

優れたプロバイダーは明確に答えられるはずであり、あるいはベンダーの調査結果をまだ待っていると正直に言えるはずだ。我々がMcKessonが恐喝の主張を受けて侵害を確認した際に見たように、インシデントを率直に確認する企業は顧客に対処できる具体策を与える。沈黙は、より強く働きかけるべきシグナルである。

あなたにとって何を意味するか

中小企業を経営している、あるいはMSPに依存しているなら、主な教訓は、自社のセキュリティが自ら選んだわけではないベンダーに部分的に依存しているということだ。サプライヤーのクラウドにパッチを当てることはできないが、侵害された場合の被害を限定することはできる。

  • プロバイダーが関与するすべてのアカウントで、固有のパスワードと多要素認証を使用する。
  • 主要な管理ツールとは別のバックアップを少なくとも一つ保持する。
  • プロバイダーのツールがオフラインになった場合に、誰にどう連絡するかを把握しておく。
  • 開示後は攻撃者が迅速に動くと予想する。自律型AIランサムウェア攻撃に関するSysdigの記録のような研究は、アクセスを獲得すると侵入がどれほど速く進展し得るかを示している。

個人消費者であれば、露出は主にデータを保有する企業を通じた間接的なものである。侵害通知に注意し、インシデントに言及する予期しないメッセージには懐疑的になること。

実行可能な要点

  • 今週中にITプロバイダーに連絡し、ConnectWiseサービスが自社の構成に含まれるか尋ねる。
  • 何が影響を受けたか、何を変更したか、認証情報をリセットする必要があるかを尋ねる。
  • 主要なビジネスアカウントのサインイン活動を確認する。
  • 簡単なベンダー侵害計画を書き留める。誰に連絡するか、何を切断するか、リモートツールなしで一両日どう運用するか。
  • 第三者の噂ではなく、ConnectWiseとMSPの公式アップデートを追う。

ConnectWiseへのサイバー攻撃とクラウドサービス停止はまだ進行中であり、詳細は変わり得る。今正しい質問をすることが、調査が何を明らかにしても、より強い立場にあなたを置く。小規模組織がなぜ攻撃者の標的になり続けるかの詳細については、中小企業ネットワークを狙うランサムウェア集団に関する記事をお読みいただき、今日ITプロバイダーに連絡してほしい。