ConnectWise har suspendert noen av sine skytjenester som svar på et cyberangrep, ifølge en rapport fra SecurityWeek. Cyberangrepet mot ConnectWise og beslutningen om å suspendere skytjenestene har betydning langt utover ett selskap, fordi ConnectWise-verktøy er mye brukt av managed service providers (MSP-er) og småbedriftene de støtter.

Dette innlegget er bevisst forsiktig. Kildematerialet vi har tilgang til bekrefter hovedfaktaet – at ConnectWise suspenderte skytjenester etter et angrep – men det sier ikke noe om årsaken, omfanget eller hvilke kunder som ble berørt. Vi vil ikke gjette på disse detaljene. I stedet følger her hva situasjonen betyr i praksis, og hvordan du kan få svar fra dem som administrerer IT-en din.

Hva ConnectWise så langt har bekreftet

Kjernen i rapporten er enkel: ConnectWise tok skytjenester offline som svar på et cyberangrep. Å suspendere en tjeneste er typisk et inneslutningstiltak, en måte å stoppe ytterligere uautorisert tilgang mens en undersøkelse pågår. Det er i seg selv ikke bevis for hvor mange kunder som ble berørt, eller om noen data ble tatt.

Artikkelteksten vi gjennomgikk inneholdt lite utover overskriften, så flere spørsmål står fortsatt åpne:

  • Hvilke spesifikke skytjenester som ble suspendert, og for hvor lenge
  • Hvordan angriperne kom seg inn
  • Om kundedata eller kundemiljøer ble accessed
  • Når tjenestene forventes å være tilbake

Noen andre søkeresultater om ConnectWise beskriver separate hendelser, inkludert en som involverer en kompromittert Cloud Backup-legitimasjon og Microsoft 365-tenants. Vi kan ikke bekrefte at disse rapportene beskriver samme hendelse, så behandle dem som kontekst snarere enn etablert faktum. Det pålitelige trekket er å vente på ConnectWises egne varsler og spørre leverandøren din om hva som gjelder for deg.

Hvorfor en leverandørutfall rammer vanlige kunder

De fleste småbedrifter kjøper aldri direkte fra ConnectWise. De ansetter en MSP, og MSP-en bruker plattformer som ConnectWise til å overvåke enheter, skyve ut oppdateringer, gi fjernstøtte og administrere sikkerhetskopier. Det skaper en kjede: leverandøren, MSP-en og MSP-ens mange klienter.

Når en leverandør midt i denne kjeden angripes, kan to ting skje samtidig:

  1. Driftsforstyrrelser. Hvis skytjenester suspenderes, kan MSP-en din miste noen av verktøyene den bruker for å støtte deg. Sakshåndtering, fjernaksess eller sikkerhetskopijobber kan bli forsinket.
  2. Sikkerhetseksponering. Fjernadministrasjonsverktøy har kraftfull tilgang til mange kundesystemer. Hvis en angriper når leverandørens miljø, er bekymringen om denne tilgangen kan rettes nedover i kjeden.

Dette er grunnen til at en enkelt kompromittert leverandør av fjernadministrasjon kan sette så mange organisasjoner i fare. Ett innbrudd kan berøre hundrevis av virksomheter som aldri så angriperen. Det passer også inn i et bredere mønster: vår dekning av løsepengevirusgjenger som skifter til områdeundertrykkelse av SMV-nettverk forklarer hvorfor mindre organisasjoner, ofte nådd gjennom delte verktøy og leverandører, er attraktive mål.

Hvordan sjekke om leverandørene dine ble berørt

Du vet kanskje ikke om virksomheten din i det hele tatt er i ConnectWise-kjeden. Noen få steg hjelper deg med å finne ut:

  • Spør MSP-en din direkte. Spør om de bruker ConnectWise-produkter, og i så fall hvilke (fjernstøtte, sikkerhetskopi, automatisering eller andre).
  • Sjekk leverandørkommunikasjon. Se etter varsler fra ConnectWise eller MSP-en din i innboksen, inkludert søppelpostmappen. Vær forsiktig med uventede meldinger om hendelsen, siden angripere ofte utnytter bruddnyheter til phishing.
  • Gå gjennom dine egne kontoer. Se på påloggingslogger for e-post- og skyproduktivitetskontoene dine etter ukjente steder, nye enheter eller uventede tillatelsesgivninger.
  • Sjekk tjenestestatus. Bruk offisielle statussider, ikke lenker i e-poster, for å følge gjenopprettingen av tjenester.

Hvis du finner noe rart, rapporter det til leverandøren din umiddelbart og før oversikt over hva du så og når.

Hva du bør spørre MSP-en eller programvareleverandøren din om nå

Dette er et godt øyeblikk for å stille spørsmål du kanskje ikke har stilt før. Rimelige spørsmål inkluderer:

  • Var noen av våre systemer, kontoer eller sikkerhetskopier koblet til de berørte tjenestene?
  • Har leverandøren fortalt deg at kundedata eller legitimasjon ble eksponert?
  • Trenger du å rotere passord, API-nøkler eller tilgangstokener, og har du gjort det for miljøet vårt?
  • Hva er vår fallback hvis fjernverktøyene dine er utilgjengelige?
  • Hvordan og når vil du fortelle oss det hvis du får vite om en påvirkning på dataene våre?

En god leverandør bør kunne svare klart, eller ærlig si at de fortsatt venter på leverandørens funn. Selskaper som bekrefter hendelser åpent, slik vi så da McKesson bekreftet et brudd etter utpresningskrav, gir kundene noe konkret å handle etter. Stillhet er signalet om å presse hardere.

Hva dette betyr for deg

Hvis du driver en liten bedrift eller er avhengig av en MSP, er hovedlærdommen at sikkerheten din delvis avhenger av leverandører du kanskje aldri har valgt. Du kan ikke lappe en leverandørs sky, men du kan begrense skaden hvis den kompromitteres.

  • Bruk unike passord og multifaktorautentisering på hver konto leverandøren din berører.
  • Hold minst én sikkerhetskopi som er atskilt fra dine viktigste administrasjonsverktøy.
  • Vit hvem du skal ringe, og hvordan, hvis leverandørens verktøy går offline.
  • Forvent at angripere beveger seg raskt etter enhver avsløring. Forskning som Sysdigs dokumentasjon av et autonomt AI-løsepengevirusangrep viser hvor raskt inntrengninger kan utvikle seg når tilgang først er oppnådd.

Hvis du er en individuell forbruker, er eksponeringen din hovedsakelig indirekte, gjennom en virksomhet som holder dataene dine. Følg med på bruddvarsler og vær skeptisk til uventede meldinger som nevner hendelsen.

Handlingsrettede punkter

  • Kontakt IT-leverandøren din denne uken og spør om ConnectWise-tjenester er en del av oppsettet ditt.
  • Spør hva som ble berørt, hva de har endret, og om du trenger å tilbakestille legitimasjon.
  • Gå gjennom påloggingsaktivitet på dine viktigste forretningskontoer.
  • Skriv ned en enkel plan for leverandørbrudd: hvem du skal ringe, hva du skal koble fra, og hvordan du skal operere uten fjernverktøy i en dag eller to.
  • Følg offisielle oppdateringer fra ConnectWise og MSP-en din i stedet for rykter fra tredjeparter.

Cyberangrepet mot ConnectWise og suspenderingen av skytjenestene er fortsatt under utvikling, og detaljene kan endre seg. Å stille de riktige spørsmålene nå setter deg i en sterkere posisjon uansett hva undersøkelsen finner. For mer kontekst om hvorfor mindre organisasjoner stadig havner i angripernes søkelys, les vår artikkel om løsepengevirusgjenger som retter seg mot SMV-nettverk, og ta deretter kontakt med IT-leverandøren din i dag.