SecurityWeek의 보도에 따르면 ConnectWise는 사이버 공격에 대응하여 일부 클라우드 서비스를 중단했습니다. ConnectWise 사이버 공격과 클라우드 서비스 중단 결정은 단순히 한 기업의 문제가 아닙니다. ConnectWise 도구는 관리형 서비스 제공업체(MSP)와 그들이 지원하는 중소기업에서 널리 사용되기 때문입니다.
이 글은 의도적으로 신중하게 작성되었습니다. 우리가 입수할 수 있는 자료는 ConnectWise가 공격 후 클라우드 서비스를 중단했다는 핵심 사실을 확인해 주지만, 원인, 범위, 또는 어떤 고객이 영향을 받았는지는 명시하지 않습니다. 우리는 그 세부 사항을 추측하지 않을 것입니다. 대신, 이 상황이 실질적으로 무엇을 의미하는지, 그리고 IT를 관리하는 사람들로부터 답을 얻는 방법을 설명합니다.
ConnectWise가 지금까지 확인한 내용
보도의 핵심은 간단합니다. ConnectWise는 사이버 공격에 대응하여 클라우드 서비스를 오프라인으로 전환했습니다. 서비스 중단은 일반적으로 봉쇄 조치로서, 조사가 진행되는 동안 추가적인 무단 접근을 막는 방법입니다. 그 자체로 얼마나 많은 고객이 영향을 받았는지 또는 데이터가 유출되었는지를 입증하는 것은 아닙니다.
우리가 검토한 기사 본문은 제목 외에는 거의 내용이 없었기에, 여러 질문이 여전히 미해결 상태입니다:
- 어떤 특정 클라우드 서비스가 중단되었으며, 얼마나 오래 지속되는지
- 공격자들이 어떻게 침입했는지
- 고객 데이터나 고객 환경에 접근했는지
- 서비스가 언제 복구될 것으로 예상되는지
ConnectWise에 관한 다른 검색 결과들은 별개의 사건들을 설명하는데, 여기에는 손상된 Cloud Backup 자격 증명과 Microsoft 365 테넌트 관련 사건이 포함됩니다. 우리는 그 보도들이 동일한 사건을 설명하는지 확인할 수 없으므로, 확립된 사실이 아닌 맥락으로 취급해야 합니다. 신뢰할 수 있는 방법은 ConnectWise 자체의 권고를 기다리고, 여러분의 제공업체에 어떤 내용이 적용되는지 문의하는 것입니다.
공급업체 장애가 일반 고객에게까지 미치는 이유
대부분의 중소기업은 ConnectWise에서 직접 구매하지 않습니다. 이들은 MSP를 고용하고, MSP는 ConnectWise 같은 플랫폼을 사용하여 기기를 모니터링하고, 업데이트를 배포하며, 원격 지원을 제공하고, 백업을 관리합니다. 이는 공급업체, MSP, 그리고 MSP의 수많은 고객으로 이어지는 사슬을 만듭니다.
그 사슬 중간에 있는 공급업체가 공격을 받으면, 두 가지 일이 동시에 발생할 수 있습니다:
- 운영 중단. 클라우드 서비스가 중단되면, MSP는 고객을 지원하는 데 사용하는 일부 도구를 잃을 수 있습니다. 티켓 처리, 원격 접속, 또는 백업 작업이 지연될 수 있습니다.
- 보안 노출. 원격 관리 도구는 많은 고객 시스템에 대한 강력한 접근 권한을 보유합니다. 공격자가 공급업체의 환경에 도달하면, 그 접근 권한이 하위로 향할 수 있는지가 우려 사항입니다.
이것이 단일 원격 관리 공급업체의 침해가 그토록 많은 조직을 위험에 빠뜨릴 수 있는 이유입니다. 한 번의 침입이 공격자를 본 적 없는 수백 개의 기업에 영향을 미칠 수 있습니다. 이는 또한 더 광범위한 패턴과도 맞닿아 있습니다: 중소기업 네트워크에 대한 구역 억제로 전환하는 랜섬웨어 갱단에 관한 우리의 보도는 공유 도구와 제공업체를 통해 접근되는 경우가 많은 소규모 조직이 왜 매력적인 표적이 되는지를 설명합니다.
제공업체가 영향을 받았는지 확인하는 방법
여러분의 비즈니스가 ConnectWise 사슬에 속해 있는지조차 모를 수 있습니다. 몇 가지 단계를 통해 확인할 수 있습니다:
- MSP에 직접 문의하세요. ConnectWise 제품을 사용하는지, 사용한다면 어떤 제품인지(원격 지원, 백업, 자동화 등) 물어보세요.
- 공급업체 커뮤니케이션을 확인하세요. 받은편지함과 스팸 폴더에서 ConnectWise 또는 MSP의 공지를 찾아보세요. 공격자들이 유출 뉴스를 피싱에 악용하는 경우가 많으므로, 사건에 관한 예상치 못한 메시지에는 주의하세요.
- 자체 계정을 검토하세요. 이메일 및 클라우드 생산성 계정의 로그인 기록에서 낯선 위치, 새 기기, 또는 예상치 못한 권한 부여가 있는지 확인하세요.
- 서비스 상태를 확인하세요. 서비스 복구 상황을 파악하려면 이메일 속 링크가 아닌 공식 상태 페이지를 이용하세요.
이상한 점을 발견하면 즉시 제공업체에 신고하고, 무엇을 언제 보았는지 기록해 두세요.
지금 MSP나 소프트웨어 공급업체에 물어볼 것
이것은 이전에 하지 않았을 질문을 하기 좋은 시점입니다. 합리적인 질문들은 다음과 같습니다:
- 우리 시스템, 계정, 또는 백업 중 영향을 받은 서비스에 연결된 것이 있나요?
- 공급업체가 고객 데이터나 자격 증명이 노출되었다고 알려주었나요?
- 비밀번호, API 키, 또는 액세스 토큰을 교체해야 하며, 우리 환경에 대해 교체하셨나요?
- 귀사의 원격 도구를 사용할 수 없을 때 우리의 대체 방안은 무엇인가요?
- 우리 데이터에 대한 영향이 확인되면 어떻게, 언제 알려주실 건가요?
좋은 제공업체라면 명확하게 답변하거나, 아직 공급업체의 조사 결과를 기다리고 있다고 솔직하게 말할 수 있어야 합니다. McKesson이 갈취 주장 이후 침해를 확인했을 때 보았듯이, 사건을 공개적으로 확인하는 기업은 고객에게 구체적으로 행동할 수 있는 무언가를 제공합니다. 침묵은 더 강하게 압박해야 한다는 신호입니다.
이것이 여러분에게 의미하는 것
중소기업을 운영하거나 MSP에 의존하고 있다면, 핵심 교훈은 여러분의 보안이 여러분이 선택한 적 없는 공급업체에 부분적으로 달려 있다는 것입니다. 공급업체의 클라우드를 패치할 수는 없지만, 침해가 발생했을 때 피해를 제한할 수는 있습니다.
- 제공업체가 접근하는 모든 계정에 고유한 비밀번호와 다중 인증을 사용하세요.
- 주요 관리 도구와 분리된 백업을 최소 하나 이상 유지하세요.
- 제공업체의 도구가 오프라인 상태가 되면 누구에게 어떻게 연락해야 하는지 알아두세요.
- 어떤 공개 이후에도 공격자들이 신속하게 움직일 것이라고 예상하세요. Sysdig의 자율 AI 랜섬웨어 공격 문서화 같은 연구는 접근 권한이 확보되면 침입이 얼마나 빠르게 진행될 수 있는지를 보여줍니다.
개인 소비자라면, 여러분의 노출은 주로 여러분의 데이터를 보유한 기업을 통한 간접적인 것입니다. 유출 통지를 주의 깊게 살피고, 사건을 언급하는 예상치 못한 메시지에는 회의적인 태도를 취하세요.
실행 가능한 시사점
- 이번 주에 IT 제공업체에 연락하여 ConnectWise 서비스가 여러분의 환경에 포함되는지 문의하세요.
- 무엇이 영향을 받았는지, 무엇을 변경했는지, 자격 증명을 재설정해야 하는지 물어보세요.
- 주요 비즈니스 계정의 로그인 활동을 검토하세요.
- 간단한 공급업체 침해 대응 계획을 작성하세요: 누구에게 연락할지, 무엇을 차단할지, 원격 도구 없이 하루나 이틀을 어떻게 운영할지.
- 제3자 소문보다는 공식 ConnectWise 및 MSP 업데이트를 따르세요.
ConnectWise 사이버 공격과 클라우드 서비스 중단은 여전히 진행 중이며, 세부 사항은 변경될 수 있습니다. 지금 올바른 질문을 하는 것이 조사 결과가 무엇이든 더 나은 위치에 서게 해줍니다. 소규모 조직이 계속해서 공격자의 표적이 되는 이유에 대한 더 많은 맥락은 중소기업 네트워크를 표적으로 삼는 랜섬웨어 갱단에 관한 우리 글을 읽은 후, 오늘 IT 제공업체에 연락하세요.
