ConnectWise heeft enkele van zijn clouddiensten opgeschort als reactie op een cyberaanval, volgens een rapport van SecurityWeek. De cyberaanval op ConnectWise en het besluit om de clouddiensten op te schorten zijn van belang dat veel verder reikt dan één bedrijf, omdat ConnectWise-tools op grote schaal worden gebruikt door managed service providers (MSP's) en de kleine bedrijven die zij ondersteunen.

Dit bericht is bewust voorzichtig. Het bronmateriaal dat ons ter beschikking staat bevestigt de kop, namelijk dat ConnectWise clouddiensten heeft opgeschort na een aanval, maar het vermeldt niet de oorzaak, de omvang of welke klanten getroffen zijn. We zullen daar niet naar gissen. In plaats daarvan volgt hier wat de situatie in praktische zin betekent en hoe u antwoorden kunt krijgen van de mensen die uw IT beheren.

Wat ConnectWise tot nu toe heeft bevestigd

De kern van het rapport is eenvoudig: ConnectWise heeft clouddiensten offline gehaald als reactie op een cyberaanval. Het opschorten van een dienst is doorgaans een containment-stap, een manier om verdere ongeoorloofde toegang te stoppen terwijl een onderzoek loopt. Het is op zichzelf geen bewijs van hoeveel klanten getroffen zijn of of er gegevens zijn ontvreemd.

De artikeltekst die wij hebben beoordeeld bevatte weinig meer dan de kop, dus verschillende vragen blijven open:

  • Welke specifieke clouddiensten zijn opgeschort, en voor hoe lang
  • Hoe de aanvallers binnenkwamen
  • Of klantgegevens of klantomgevingen zijn benaderd
  • Wanneer de diensten naar verwachting terugkeren

Enkele andere zoekresultaten over ConnectWise beschrijven afzonderlijke incidenten, waaronder een met een gecompromitteerde Cloud Backup-referentie en Microsoft 365-tenants. We kunnen niet bevestigen dat die rapporten hetzelfde incident beschrijven, dus behandel ze als context rather dan als vaststaand feit. De betrouwbare zet is wachten op de eigen adviezen van ConnectWise en uw provider vragen wat op u van toepassing is.

Waarom een storing bij een leverancier gewone klanten raakt

De meeste kleine bedrijven kopen nooit rechtstreeks bij ConnectWise. Ze huren een MSP in, en de MSP gebruikt platforms zoals ConnectWise om apparaten te monitoren, updates uit te rollen, externe ondersteuning te bieden en back-ups te beheren. Dat creëert een keten: de leverancier, de MSP en de vele klanten van de MSP.

Wanneer een leverancier in het midden van die keten wordt aangevallen, kunnen er twee dingen tegelijk gebeuren:

  1. Operationele verstoring. Als clouddiensten worden opgeschort, kan uw MSP enkele van de tools verliezen die het gebruikt om u te ondersteunen. Ticketing, externe toegang of back-uptaken kunnen vertraging oplopen.
  2. Beveiligingsrisico. Remote-managementtools hebben krachtige toegang tot vele systemen van klanten. Als een aanvaller de omgeving van de leverancier bereikt, is de zorg of die toegang stroomafwaarts kan worden gericht.

Dit is waarom één gecompromitteerde leverancier van remote management zoveel organisaties in gevaar kan brengen. Eén inbraak kan honderden bedrijven raken die de aanvaller nooit hebben gezien. Het past ook in een breder patroon: onze berichtgeving over ransomwarebendes die overschakelen naar gebiedsonder suppressie van MKB-netwerken legt uit waarom kleinere organisaties, vaak bereikt via gedeelde tools en providers, aantrekkelijke doelwitten zijn.

Hoe u kunt controleren of uw providers getroffen zijn

Misschien weet u niet eens of uw bedrijf deel uitmaakt van de ConnectWise-keten. Een paar stappen helpen u erachter te komen:

  • Vraag het uw MSP rechtstreeks. Vraag of zij ConnectWise-producten gebruiken en, zo ja, welke (externe ondersteuning, back-up, automatisering of andere).
  • Controleer communicatie van leveranciers. Zoek naar meldingen van ConnectWise of uw MSP in uw inbox, inclusief uw spammap. Wees voorzichtig met onverwachte berichten over het incident, want aanvallers misbruiken vaak nieuws over inbreuken voor phishing.
  • Controleer uw eigen accounts. Bekijk inloglogboeken van uw e-mail- en cloudproductiviteitsaccounts op onbekende locaties, nieuwe apparaten of onverwachte machtigingen.
  • Controleer de servicestatus. Gebruik officiële statuspagina's, niet links in e-mails, om de herstelling van diensten te volgen.

Als u iets vreemds vindt, meld het dan snel bij uw provider en houd bij wat u zag en wanneer.

Wat u nu aan uw MSP of softwareleverancier moet vragen

Dit is een goed moment om vragen te stellen die u misschien nog niet eerder hebt gesteld. Redelijke vragen zijn onder meer:

  • Waren een van onze systemen, accounts of back-ups verbonden met de getroffen diensten?
  • Heeft de leverancier u laten weten dat klantgegevens of inloggegevens zijn blootgesteld?
  • Moeten wachtwoorden, API-sleutels of toegangstokens worden geroteerd, en hebben jullie dat voor onze omgeving gedaan?
  • Wat is ons fallback-plan als jullie remote tools niet beschikbaar zijn?
  • Hoe en wanneer laten jullie ons weten als jullie vernemen dat onze gegevens zijn getroffen?

Een goede provider zou duidelijk antwoord moeten kunnen geven, of eerlijk moeten zeggen dat zij nog wachten op de bevindingen van de leverancier. Bedrijven die incidenten openlijk bevestigen, zoals we zagen toen McKesson een inbreuk bevestigde na afpersingsclaims, geven klanten iets concreets om op te handelen. Stilte is het signaal om harder aan te dringen.

Wat dit voor u betekent

Als u een klein bedrijf runt of afhankelijk bent van een MSP, is de belangrijkste les dat uw beveiliging deels afhangt van leveranciers die u misschien nooit hebt gekozen. U kunt de cloud van een leverancier niet patchen, maar u kunt de schade beperken als deze wordt gecompromitteerd.

  • Gebruik unieke wachtwoorden en multi-factorauthenticatie op elk account dat uw provider aanraakt.
  • Houd ten minste één back-up bij die gescheiden is van uw belangrijkste beheertools.
  • Weet wie u moet bellen, en hoe, als de tools van uw provider offline gaan.
  • Verwacht dat aanvallers snel te werk gaan na elke onthulling. Onderzoek zoals Sysdigs documentatie van een autonome AI-ransomwareaanval toont hoe snel inbraken kunnen vorderen zodra toegang is verkregen.

Als u een individuele consument bent, is uw blootstelling grotendeels indirect, via een bedrijf dat uw gegevens bewaart. Let op inbreukmeldingen en wees sceptisch over onverwachte berichten die het incident vermelden.

Concrete aandachtspunten

  • Neem deze week contact op met uw IT-provider en vraag of ConnectWise-diensten deel uitmaken van uw opzet.
  • Vraag wat getroffen is, wat zij hebben gewijzigd en of u inloggegevens moet resetten.
  • Controleer inlogactiviteit op uw belangrijkste zakelijke accounts.
  • Schrijf een eenvoudig plan voor leveranciersinbreuken op: wie te bellen, wat los te koppelen en hoe een dag of twee te werken zonder remote tools.
  • Volg officiële updates van ConnectWise en uw MSP in plaats van geruchten van derden.

De cyberaanval op ConnectWise en de opschorting van zijn clouddiensten zijn nog in ontwikkeling, en details kunnen veranderen. De juiste vragen nu stellen brengt u in een sterkere positie, wat het onderzoek ook oplevert. Voor meer context over waarom kleinere organisaties steeds weer in het vizier van aanvallers komen, lees ons stuk over ransomwarebendes die MKB-netwerken targeten, en neem vandaag nog contact op met uw IT-provider.