A ConnectWise suspendeu alguns de seus serviços em nuvem em resposta a um ciberataque, de acordo com um relatório da SecurityWeek. O ciberataque à ConnectWise e a decisão de suspender seus serviços em nuvem têm importância muito além de uma única empresa, porque as ferramentas da ConnectWise são amplamente utilizadas por provedores de serviços gerenciados (MSPs) e pelas pequenas empresas que eles atendem.

Este post é deliberadamente cauteloso. O material de origem disponível para nós confirma o fato principal, de que a ConnectWise suspendeu serviços em nuvem após um ataque, mas não detalha a causa, o escopo ou quais clientes foram afetados. Não vamos especular sobre esses detalhes. Em vez disso, aqui está o que a situação significa em termos práticos e como obter respostas das pessoas que gerenciam sua TI.

O que a ConnectWise confirmou até agora

O cerne do relatório é simples: a ConnectWise tirou serviços em nuvem do ar como resposta a um ciberataque. Suspender um serviço é tipicamente uma etapa de contenção, uma forma de impedir acesso não autorizado adicional enquanto uma investigação está em andamento. Isso não é, por si só, prova de quantos clientes foram afetados ou se algum dado foi levado.

O texto do artigo que revisamos continha pouco além da manchete, então várias questões permanecem em aberto:

  • Quais serviços em nuvem específicos foram suspensos, e por quanto tempo
  • Como os atacantes conseguiram entrar
  • Se dados de clientes ou ambientes de clientes foram acessados
  • Quando os serviços devem retornar

Alguns outros resultados de busca sobre a ConnectWise descrevem incidentes separados, incluindo um envolvendo uma credencial comprometida do Cloud Backup e locatários do Microsoft 365. Não podemos confirmar que esses relatórios descrevem o mesmo evento, então trate-os como contexto em vez de fato estabelecido. A atitude confiável é aguardar os próprios avisos da ConnectWise e perguntar ao seu provedor o que se aplica a você.

Por que uma indisponibilidade de fornecedor atinge clientes comuns

A maioria das pequenas empresas nunca compra diretamente da ConnectWise. Elas contratam um MSP, e o MSP usa plataformas como a ConnectWise para monitorar dispositivos, enviar atualizações, fornecer suporte remoto e gerenciar backups. Isso cria uma cadeia: o fornecedor, o MSP e os muitos clientes do MSP.

Quando um fornecedor no meio dessa cadeia é atacado, duas coisas podem acontecer ao mesmo tempo:

  1. Interrupção operacional. Se os serviços em nuvem forem suspensos, seu MSP pode perder algumas das ferramentas que usa para apoiá-lo. Abertura de chamados, acesso remoto ou tarefas de backup podem atrasar.
  2. Exposição de segurança. Ferramentas de gerenciamento remoto detêm acesso poderoso a muitos sistemas de clientes. Se um atacante chega ao ambiente do fornecedor, a preocupação é se esse acesso poderia ser direcionado para os elos seguintes da cadeia.

É por isso que um único fornecedor de gerenciamento remoto comprometido pode colocar tantas organizações em risco. Uma única invasão pode atingir centenas de empresas que nunca viram o atacante. Isso também se encaixa em um padrão mais amplo: nossa cobertura sobre gangues de ransomware migrando para supressão de área de redes de PMEs explica por que organizações menores, frequentemente alcançadas por meio de ferramentas e provedores compartilhados, são alvos atraentes.

Como verificar se seus provedores foram afetados

Você pode nem saber se sua empresa está na cadeia da ConnectWise. Alguns passos ajudam a descobrir:

  • Pergunte diretamente ao seu MSP. Pergunte se eles usam produtos ConnectWise e, em caso afirmativo, quais (suporte remoto, backup, automação ou outros).
  • Verifique as comunicações do fornecedor. Procure avisos da ConnectWise ou do seu MSP na sua caixa de entrada, incluindo a pasta de spam. Tenha cuidado com mensagens inesperadas sobre o incidente, já que atacantes frequentemente exploram notícias de violações para phishing.
  • Revise suas próprias contas. Verifique os registros de login do seu e-mail e contas de produtividade em nuvem em busca de locais desconhecidos, novos dispositivos ou concessões de permissão inesperadas.
  • Verifique o status do serviço. Use páginas de status oficiais, não links em e-mails, para acompanhar a restauração dos serviços.

Se você encontrar algo estranho, reporte ao seu provedor prontamente e mantenha um registro do que viu e quando.

O que perguntar ao seu MSP ou fornecedor de software agora

Este é um bom momento para fazer perguntas que você talvez nunca tenha feito antes. Perguntas razoáveis incluem:

  • Algum dos nossos sistemas, contas ou backups estava conectado aos serviços afetados?
  • O fornecedor informou que dados ou credenciais de clientes foram expostos?
  • Você precisa rotacionar senhas, chaves de API ou tokens de acesso, e já fez isso para o nosso ambiente?
  • Qual é o nosso plano alternativo se suas ferramentas remotas estiverem indisponíveis?
  • Como e quando você nos informará se souber de um impacto sobre nossos dados?

Um bom provedor deve ser capaz de responder claramente, ou dizer honestamente que ainda está aguardando as conclusões do fornecedor. Empresas que confirmam incidentes abertamente, como vimos quando a McKesson confirmou uma violação após alegações de extorsão, dão aos clientes algo concreto para agir. O silêncio é o sinal para pressionar mais.

O que isso significa para você

Se você administra uma pequena empresa ou depende de um MSP, a principal lição é que sua segurança depende em parte de fornecedores que você talvez nunca tenha escolhido. Você não pode corrigir a nuvem de um fornecedor, mas pode limitar os danos se ela for comprometida.

  • Use senhas exclusivas e autenticação multifator em todas as contas que seu provedor acessa.
  • Mantenha pelo menos um backup separado das suas principais ferramentas de gerenciamento.
  • Saiba quem chamar, e como, se as ferramentas do seu provedor ficarem offline.
  • Espere que os atacantes ajam rapidamente após qualquer divulgação. Pesquisas como a documentação da Sysdig de um ataque de ransomware autônomo por IA mostram quão rápido as intrusões podem progredir uma vez que o acesso é obtido.

Se você é um consumidor individual, sua exposição é principalmente indireta, por meio de uma empresa que detém seus dados. Fique atento a avisos de violação e seja cético em relação a mensagens inesperadas que mencionem o incidente.

Conclusões práticas

  • Entre em contato com seu provedor de TI esta semana e pergunte se os serviços ConnectWise fazem parte da sua configuração.
  • Pergunte o que foi afetado, o que eles mudaram e se você precisa redefinir alguma credencial.
  • Revise a atividade de login nas suas principais contas comerciais.
  • Escreva um plano simples para violações de fornecedores: quem chamar, o que desconectar e como operar sem ferramentas remotas por um ou dois dias.
  • Siga as atualizações oficiais da ConnectWise e do MSP em vez de rumores de terceiros.

O ciberataque à ConnectWise e a suspensão de seus serviços em nuvem ainda estão em desenvolvimento, e os detalhes podem mudar. Fazer as perguntas certas agora coloca você em uma posição mais forte, independentemente do que a investigação encontrar. Para mais contexto sobre por que organizações menores continuam acabando na mira dos atacantes, leia nosso artigo sobre gangues de ransomware visando redes de PMEs, e então entre em contato com seu provedor de TI hoje.