ConnectWise a suspendat unele dintre serviciile sale cloud ca răspuns la un atac cibernetic, potrivit unui raport SecurityWeek. Atacul cibernetic asupra ConnectWise și decizia de a suspenda serviciile sale cloud au implicații mult dincolo de o singură companie, deoarece instrumentele ConnectWise sunt utilizate pe scară largă de furnizorii de servicii gestionate (MSP) și de micile afaceri pe care aceștia le sprijină.

Acest articol este deliberat precaut. Materialul sursă disponibil confirmă faptul principal din titlu, acela că ConnectWise a suspendat serviciile cloud după un atac, dar nu precizează cauza, amploarea sau care clienți au fost afectați. Nu vom face speculații cu privire la aceste detalii. În schimb, iată ce înseamnă situația în termeni practici și cum să obțineți răspunsuri de la cei care vă gestionează IT-ul.

Ce a confirmat ConnectWise până acum

Nucleul raportului este simplu: ConnectWise a scos serviciile cloud offline ca răspuns la un atac cibernetic. Suspendarea unui serviciu este de obicei un pas de izolare, o modalitate de a opri accesul neautorizat suplimentar în timpul unei investigații. Nu este, în sine, o dovadă a numărului de clienți afectați sau a faptului că au fost preluate date.

Textul articolului pe care l-am analizat conținea puțin dincolo de titlu, așa că mai multe întrebări rămân deschise:

  • Ce servicii cloud specifice au fost suspendate și pentru cât timp
  • Cum au intrat atacatorii
  • Dacă au fost accesate date ale clienților sau medii ale clienților
  • Când se preconizează că serviciile vor reveni

Alte rezultate ale căutării despre ConnectWise descriu incidente separate, inclusiv unul care implică o acreditare compromisă pentru Cloud Backup și chiriași Microsoft 365. Nu putem confirma că acele rapoarte descriu același eveniment, așa că tratați-le ca context, nu ca fapt stabilit. Mișcarea fiabilă este să așteptați avizele proprii ale ConnectWise și să întrebați furnizorul dumneavoastră ce se aplică în cazul dumneavoastră.

De ce o întrerupere a unui furnizor ajunge la clienții obișnuiți

Majoritatea micilor afaceri nu cumpără niciodată direct de la ConnectWise. Ele angajează un MSP, iar MSP-ul folosește platforme precum ConnectWise pentru a monitoriza dispozitivele, a trimite actualizări, a oferi asistență la distanță și a gestiona backup-urile. Astfel se creează un lanț: furnizorul, MSP-ul și numeroșii clienți ai MSP-ului.

Când un furnizor din mijlocul acestui lanț este atacat, se pot întâmpla două lucruri simultan:

  1. Întrerupere operațională. Dacă serviciile cloud sunt suspendate, MSP-ul dumneavoastră poate pierde unele dintre instrumentele pe care le folosește pentru a vă sprijini. Ticketingul, accesul la distanță sau sarcinile de backup ar putea fi întârziate.
  2. Expunere de securitate. Instrumentele de gestionare la distanță dețin acces puternic la multe sisteme ale clienților. Dacă un atacator ajunge în mediul furnizorului, îngrijorarea este dacă acel acces ar putea fi direcționat în aval.

Iată de ce un singur furnizor de gestionare la distanță compromis poate pune în pericol atât de multe organizații. O singură spargere poate afecta sute de afaceri care nu au văzut niciodată atacatorul. Se încadrează, de asemenea, într-un tipar mai larg: relatarea noastră despre grupările de ransomware care trec la suprimarea pe zone a rețelelor IMM-urilor explică de ce organizațiile mai mici, adesea accesate prin instrumente și furnizori partajați, sunt ținte atractive.

Cum să verificați dacă furnizorii dumneavoastră au fost afectați

Este posibil să nu știți dacă afacerea dumneavoastră face parte deloc din lanțul ConnectWise. Câțiva pași vă ajută să aflați:

  • Întrebați-vă direct MSP-ul. Întrebați dacă folosesc produse ConnectWise și, dacă da, care anume (asistență la distanță, backup, automatizare sau altele).
  • Verificați comunicările furnizorului. Căutați notificări de la ConnectWise sau de la MSP-ul dumneavoastră în căsuța de e-mail, inclusiv în folderul spam. Fiți atenți la mesajele neașteptate despre incident, deoarece atacatorii exploatează adesea știrile despre breșe pentru phishing.
  • Examinați-vă propriile conturi. Verificați jurnalele de conectare pentru conturile de e-mail și de productivitate cloud pentru locații necunoscute, dispozitive noi sau acordări neașteptate de permisiuni.
  • Verificați starea serviciilor. Folosiți paginile oficiale de stare, nu linkurile din e-mailuri, pentru a urmări restabilirea serviciilor.

Dacă descoperiți ceva neobișnuit, raportați prompt furnizorului dumneavoastră și păstrați o evidență a ceea ce ați văzut și când.

Ce să întrebați acum MSP-ul sau furnizorul de software

Acesta este un moment bun pentru a pune întrebări pe care poate nu le-ați pus până acum. Întrebări rezonabile includ:

  • Au fost sistemele, conturile sau backup-urile noastre conectate la serviciile afectate?
  • V-a spus furnizorul că datele sau acreditările clienților au fost expuse?
  • Trebuie să rotiți parole, chei API sau tokenuri de acces și ați făcut acest lucru pentru mediul nostru?
  • Care este soluția noastră de rezervă dacă instrumentele dumneavoastră de la distanță nu sunt disponibile?
  • Cum și când ne veți anunța dacă aflați despre un impact asupra datelor noastre?

Un furnizor bun ar trebui să poată răspunde clar sau să spună sincer că încă așteaptă constatările furnizorului. Companiile care confirmă deschis incidentele, așa cum am văzut când McKesson a confirmat o breșă după revendicările de extorcare, oferă clienților ceva concret pe care să acționeze. Tăcerea este semnalul să insistați mai mult.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă conduceți o mică afacere sau vă bazați pe un MSP, principala lecție este că securitatea dumneavoastră depinde parțial de furnizori pe care poate nu i-ați ales niciodată. Nu puteți aplica patch-uri pentru cloud-ul unui furnizor, dar puteți limita daunele dacă acesta este compromis.

  • Folosiți parole unice și autentificare multifactor pentru fiecare cont pe care îl atinge furnizorul dumneavoastră.
  • Păstrați cel puțin un backup separat de instrumentele principale de gestionare.
  • Știți pe cine să sunați și cum, dacă instrumentele furnizorului dumneavoastră devin indisponibile.
  • Anticipați că atacatorii se vor mișca rapid după orice dezvăluire. Cercetări precum documentarea de către Sysdig a unui atac ransomware autonom cu AI arată cât de repede pot progresa intruziunile odată ce accesul este obținut.

Dacă sunteți un consumator individual, expunerea dumneavoastră este în mare parte indirectă, prin intermediul unei afaceri care deține datele dumneavoastră. Fiți atenți la notificările de breșă și fiți sceptici față de mesajele neașteptate care menționează incidentul.

Concluzii acționabile

  • Contactați furnizorul dumneavoastră IT săptămâna aceasta și întrebați dacă serviciile ConnectWise fac parte din configurația dumneavoastră.
  • Întrebați ce a fost afectat, ce au schimbat și dacă trebuie să resetați vreo acreditare.
  • Examinați activitatea de conectare pe conturile dumneavoastră cheie de afaceri.
  • Notați un plan simplu pentru breșe la furnizori: pe cine să sunați, ce să deconectați și cum să operați fără instrumente de la distanță timp de una sau două zile.
  • Urmăriți actualizările oficiale ale ConnectWise și ale MSP-ului, nu zvonurile terților.

Atacul cibernetic asupra ConnectWise și suspendarea serviciilor sale cloud sunt încă în desfășurare, iar detaliile se pot schimba. Punând întrebările potrivite acum vă aflați într-o poziție mai puternică indiferent ce va descoperi investigația. Pentru mai mult context despre de ce organizațiile mai mici continuă să ajungă în vizorul atacatorilor, citiți articolul nostru despre grupările de ransomware care vizează rețelele IMM-urilor, apoi contactați-vă furnizorul IT astăzi.