ConnectWise zawiesił część swoich usług chmurowych w odpowiedzi na cyberatak, zgodnie z raportem SecurityWeek. Cyberatak na ConnectWise i decyzja o zawieszeniu usług chmurowych mają znaczenie znacznie wykraczające poza jedną firmę, ponieważ narzędzia ConnectWise są powszechnie wykorzystywane przez dostawców usług zarządzanych (MSP) oraz wspierane przez nich małe firmy.

Ten tekst jest celowo ostrożny. Materiały źródłowe, do których mamy dostęp, potwierdzają główny fakt — że ConnectWise zawiesił usługi chmurowe po ataku — ale nie precyzują przyczyny, zakresu ani tego, których klientów to dotyczyło. Nie będziemy zgadywać tych szczegółów. Zamiast tego przedstawiamy, co ta sytuacja oznacza w praktyce i jak uzyskać odpowiedzi od osób zarządzających Twoją infrastrukturą IT.

Co ConnectWise potwierdził do tej pory

Sedno raportu jest proste: ConnectWise wyłączył usługi chmurowe w odpowiedzi na cyberatak. Zawieszenie usługi to zazwyczaj krok powstrzymujący, sposób na zatrzymanie dalszego nieautoryzowanego dostępu w trakcie prowadzonego śledztwa. Samo w sobie nie jest dowodem na to, ilu klientów zostało dotkniętych ani czy jakiekolwiek dane zostały wykradzione.

Tekst artykułu, który przeanalizowaliśmy, zawierał niewiele poza nagłówkiem, więc kilka pytań pozostaje otwartych:

  • Które konkretnie usługi chmurowe zostały zawieszone i na jak długo
  • W jaki sposób napastnicy uzyskali dostęp
  • Czy dane klientów lub środowiska klientów zostały naruszone
  • Kiedy usługi mają zostać przywrócone

Niektóre inne wyniki wyszukiwania dotyczące ConnectWise opisują odrębne incydenty, w tym jeden związany ze skompromitowanym poświadczeniem Cloud Backup i dzierżawami Microsoft 365. Nie możemy potwierdzić, że te raporty opisują to samo zdarzenie, więc należy traktować je jako kontekst, a nie ustalony fakt. Rozsądnym krokiem jest poczekanie na własne komunikaty ConnectWise i zapytanie swojego dostawcy, co dotyczy Ciebie.

Dlaczego awaria dostawcy dotyka zwykłych klientów

Większość małych firm nigdy nie kupuje bezpośrednio od ConnectWise. Zatrudniają MSP, a MSP korzysta z platform takich jak ConnectWise do monitorowania urządzeń, wdrażania aktualizacji, zdalnego wsparcia i zarządzania kopiami zapasowymi. Tworzy to łańcuch: dostawca, MSP i liczni klienci MSP.

Gdy dostawca w środku tego łańcucha zostaje zaatakowany, mogą nastąpić dwie rzeczy jednocześnie:

  1. Zakłócenia operacyjne. Jeśli usługi chmurowe zostaną zawieszone, Twój MSP może utracić część narzędzi, których używa do wspierania Ciebie. Zgłoszenia, zdalny dostęp lub zadania backupu mogą zostać opóźnione.
  2. Ekspozycja bezpieczeństwa. Narzędzia do zdalnego zarządzania mają potężny dostęp do wielu systemów klientów. Jeśli napastnik dotrze do środowiska dostawcy, pojawia się obawa, czy ten dostęp może zostać skierowany w dół łańcucha.

Dlatego jeden skompromitowany dostawca narzędzi do zdalnego zarządzania może narazić na ryzyko tak wiele organizacji. Jedno włamanie może dotknąć setek firm, które nigdy nie zetknęły się z napastnikiem. Wpisuje się to również w szerszy wzorzec: nasz materiał o gangach ransomware przechodzących do tłumienia obszarowego sieci MŚP wyjaśnia, dlaczego mniejsze organizacje, często osiągane przez współdzielone narzędzia i dostawców, są atrakcyjnymi celami.

Jak sprawdzić, czy Twoi dostawcy zostali dotknięci

Możesz nie wiedzieć, czy Twoja firma w ogóle znajduje się w łańcuchu ConnectWise. Kilka kroków pomoże Ci to ustalić:

  • Zapytaj swojego MSP bezpośrednio. Zapytaj, czy korzysta z produktów ConnectWise i, jeśli tak, z których (zdalne wsparcie, backup, automatyzacja lub inne).
  • Sprawdź komunikację od dostawcy. Szukaj powiadomień od ConnectWise lub swojego MSP w skrzynce odbiorczej, w tym w folderze spamu. Uważaj na nieoczekiwane wiadomości dotyczące incydentu, ponieważ napastnicy często wykorzystują wieści o naruszeniach do phishingu.
  • Przejrzyj własne konta. Sprawdź logi logowania do swoich kont e-mail i kont produktywności w chmurze pod kątem nieznanych lokalizacji, nowych urządzeń lub nieoczekiwanych nadań uprawnień.
  • Sprawdź status usług. Korzystaj z oficjalnych stron statusu, a nie z linków w e-mailach, aby śledzić przywracanie usług.

Jeśli zauważysz coś nietypowego, niezwłocznie zgłoś to swojemu dostawcy i prowadź rejestr tego, co zaobserwowałeś i kiedy.

O co zapytać swojego MSP lub dostawcę oprogramowania już teraz

To dobry moment, by zadać pytania, których być może wcześniej nie zadawałeś. Rozsądne pytania obejmują:

  • Czy któreś z naszych systemów, kont lub kopii zapasowych były połączone z dotkniętymi usługami?
  • Czy dostawca poinformował Cię, że dane klientów lub poświadczenia zostały ujawnione?
  • Czy należy zmienić hasła, klucze API lub tokeny dostępu i czy zostało to zrobione w naszym środowisku?
  • Jaki jest nasz plan awaryjny, jeśli Twoje narzędzia zdalne będą niedostępne?
  • Jak i kiedy poinformujecie nas, jeśli dowiecie się o wpływie na nasze dane?

Dobry dostawca powinien odpowiedzieć wprost lub uczciwie przyznać, że wciąż czeka na ustalenia dostawcy. Firmy, które otwarcie potwierdzają incydenty, jak miało to miejsce, gdy McKesson potwierdził naruszenie po roszczeniach o wymuszenie, dają klientom coś konkretnego, na czym mogą działać. Cisza to sygnał, by naciskać mocniej.

Co to oznacza dla Ciebie

Jeśli prowadzisz małą firmę lub polegasz na MSP, główna lekcja jest taka, że Twoje bezpieczeństwo zależy częściowo od dostawców, których być może nigdy nie wybrałeś. Nie załatasz chmury dostawcy, ale możesz ograniczyć szkody, jeśli zostanie skompromitowana.

  • Używaj unikalnych haseł i uwierzytelniania wieloskładnikowego na każdym koncie, którego dotyka Twój dostawca.
  • Utrzymuj co najmniej jedną kopię zapasową oddzieloną od głównych narzędzi zarządzania.
  • Wiedz, do kogo zadzwonić i w jaki sposób, jeśli narzędzia Twojego dostawcy staną się niedostępne.
  • Spodziewaj się, że napastnicy będą działać szybko po każdym ujawnieniu. Badania takie jak dokumentacja Sysdig dotycząca autonomicznego ataku ransomware z użyciem AI pokazują, jak szybko mogą postępować włamania po uzyskaniu dostępu.

Jeśli jesteś indywidualnym konsumentem, Twoja ekspozycja jest głównie pośrednia, poprzez firmę, która przechowuje Twoje dane. Uważaj na powiadomienia o naruszeniach i podchodź sceptycznie do nieoczekiwanych wiadomości wspominających o incydencie.

Praktyczne wnioski

  • Skontaktuj się ze swoim dostawcą IT w tym tygodniu i zapytaj, czy usługi ConnectWise są częścią Twojej konfiguracji.
  • Zapytaj, co zostało dotknięte, co zostało zmienione i czy musisz zresetować jakiekolwiek poświadczenia.
  • Przejrzyj aktywność logowania na swoich kluczowych kontach biznesowych.
  • Zapisz prosty plan reagowania na naruszenie u dostawcy: do kogo zadzwonić, co odłączyć i jak funkcjonować bez narzędzi zdalnych przez dzień lub dwa.
  • Śledź oficjalne aktualizacje ConnectWise i MSP, a nie plotki z third-party.

Cyberatak na ConnectWise i zawieszenie jego usług chmurowych wciąż się rozwijają, a szczegóły mogą się zmienić. Zadanie właściwych pytań już teraz stawia Cię w silniejszej pozycji niezależnie od tego, co ustali śledztwo. Aby uzyskać więcej kontekstu na temat tego, dlaczego mniejsze organizacje wciąż trafiają na celownik napastników, przeczytaj nasz artykuł o gangach ransomware atakujących sieci MŚP, a następnie skontaktuj się ze swoim dostawcą IT jeszcze dziś.