Согласно отчёту SecurityWeek, ConnectWise приостановила часть своих облачных сервисов в ответ на кибератаку. Кибератака на ConnectWise и решение приостановить облачные сервисы имеют значение далеко за пределами одной компании, поскольку инструменты ConnectWise широко используются поставщиками управляемых услуг (MSP) и малыми предприятиями, которые они поддерживают.

Эта публикация намеренно осторожна. Доступные нам исходные материалы подтверждают главный факт — что ConnectWise приостановила облачные сервисы после атаки, — но не раскрывают причину, масштаб или то, какие клиенты пострадали. Мы не будем строить догадки об этих деталях. Вместо этого вот что ситуация означает на практике и как получить ответы от тех, кто управляет вашей ИТ-инфраструктурой.

Что ConnectWise подтвердила на данный момент

Суть отчёта проста: ConnectWise отключила облачные сервисы в ответ на кибератаку. Приостановка сервиса, как правило, является шагом по локализации инцидента — способом остановить дальнейший несанкционированный доступ, пока идёт расследование. Сама по себе она не является доказательством того, сколько клиентов пострадало или были ли похищены какие-либо данные.

Текст статьи, который мы изучили, содержал немногое помимо заголовка, поэтому несколько вопросов остаются открытыми:

  • Какие именно облачные сервисы были приостановлены и на какой срок
  • Как злоумышленники получили доступ
  • Были ли скомпрометированы данные клиентов или клиентские среды
  • Когда ожидается восстановление сервисов

Некоторые другие результаты поиска о ConnectWise описывают отдельные инциденты, включая один, связанный со скомпрометированным учётным данным Cloud Backup и арендаторами Microsoft 365. Мы не можем подтвердить, что эти отчёты описывают то же самое событие, поэтому относитесь к ним как к контексту, а не как к установленному факту. Надёжный шаг — дождаться собственных уведомлений ConnectWise и спросить своего провайдера о том, что касается вас.

Почему сбой у поставщика затрагивает обычных клиентов

Большинство малых предприятий никогда не покупают у ConnectWise напрямую. Они нанимают MSP, а MSP использует такие платформы, как ConnectWise, для мониторинга устройств, распространения обновлений, удалённой поддержки и управления резервными копиями. Так возникает цепочка: поставщик, MSP и множество клиентов MSP.

Когда поставщик в середине этой цепочки подвергается атаке, могут произойти две вещи одновременно:

  1. Операционные сбои. Если облачные сервисы приостановлены, ваш MSP может лишиться部分 инструментов, которые он использует для вашей поддержки. Обработка заявок, удалённый доступ или задачи резервного копирования могут задерживаться.
  2. Угроза безопасности. Инструменты удалённого управления обладают мощным доступом ко многим клиентским системам. Если злоумышленник проникает в среду поставщика, возникает вопрос, может ли этот доступ быть направлен вниз по цепочке.

Именно поэтому один скомпрометированный поставщик решений удалённого управления может подвергнуть риску столь многие организации. Один взлом может затронуть сотни компаний, которые никогда не видели злоумышленника. Это также вписывается в более широкую картину: наш материал о группировках программ-вымогателей, переходящих к подавлению сетей МСП по районам объясняет, почему небольшие организации, часто доступные через общие инструменты и провайдеров, являются привлекательными целями.

Как проверить, пострадали ли ваши провайдеры

Вы можете даже не знать, входит ли ваша компания в цепочку ConnectWise. Несколько шагов помогут это выяснить:

  • Спросите своего MSP напрямую. Уточните, используют ли они продукты ConnectWise и, если да, какие именно (удалённая поддержка, резервное копирование, автоматизация или другие).
  • Проверьте сообщения от поставщиков. Ищите уведомления от ConnectWise или вашего MSP в почте, включая папку спама. Будьте осторожны с неожиданными сообщениями об инциденте, поскольку злоумышленники часто используют новости о взломах для фишинга.
  • Проверьте свои учётные записи. Просмотрите журналы входов в вашу электронную почту и облачные рабочие аккаунты на предмет незнакомых местоположений, новых устройств или неожиданных предоставлений разрешений.
  • Проверьте статус сервисов. Используйте официальные страницы статуса, а не ссылки в письмах, чтобы следить за восстановлением сервисов.

Если вы обнаружите что-то странное, незамедлительно сообщите об этом своему провайдеру и сохраните запись о том, что вы видели и когда.

Что спросить у вашего MSP или поставщика программного обеспечения сейчас

Это хороший момент, чтобы задать вопросы, которые вы, возможно, раньше не задавали. Разумные из них включают:

  • Были ли какие-либо из наших систем, учётных записей или резервных копий связаны с затронутыми сервисами?
  • Сообщил ли вам поставщик, что данные клиентов или учётные данные были скомпрометированы?
  • Нужно ли менять пароли, API-ключи или токены доступа, и сделали ли вы это для нашей среды?
  • Каков наш запасной план, если ваши инструменты удалённого доступа недоступны?
  • Как и когда вы сообщите нам, если узнаете о воздействии на наши данные?

Хороший провайдер должен ответить прямо или честно сказать, что всё ещё ждёт результатов расследования поставщика. Компании, которые открыто подтверждают инциденты, как мы видели, когда McKesson подтвердила утечку после требований о выкупе, дают клиентам что-то конкретное для действий. Молчание — это сигнал надавить сильнее.

Что это значит для вас

Если вы руководите малым предприятием или полагаетесь на MSP, главный урок в том, что ваша безопасность частично зависит от поставщиков, которых вы, возможно, никогда не выбирали. Вы не можете закрыть уязвимость в облаке поставщика, но вы можете ограничить ущерб, если оно скомпрометировано.

  • Используйте уникальные пароли и многофакторную аутентификацию для каждой учётной записи, к которой имеет доступ ваш провайдер.
  • Держите как минимум одну резервную копию отдельно от ваших основных инструментов управления.
  • Знайте, кому звонить и как, если инструменты вашего провайдера перестанут работать.
  • Ожидайте, что злоумышленники будут действовать быстро после любого раскрытия информации. Исследования, такие как документация Sysdig о первой полностью автономной атаке программы-вымогателя с использованием ИИ, показывают, как быстро могут развиваться вторжения после получения доступа.

Если вы обычный потребитель, ваша подверженность риску в основном косвенная — через компанию, которая хранит ваши данные. Следите за уведомлениями об утечках и скептически относитесь к неожиданным сообщениям, упоминающим инцидент.

Практические выводы

  • Свяжитесь с вашим ИТ-провайдером на этой неделе и спросите, входят ли сервисы ConnectWise в вашу конфигурацию.
  • Спросите, что было затронуто, что они изменили и нужно ли вам сбрасывать какие-либо учётные данные.
  • Просмотрите активность входов в ваши ключевые бизнес-аккаунты.
  • Запишите простой план на случай утечки у поставщика: кому звонить, что отключать и как работать без инструментов удалённого доступа день или два.
  • Следите за официальными обновлениями ConnectWise и MSP, а не за сторонними слухами.

Кибератака на ConnectWise и приостановка её облачных сервисов всё ещё развиваются, и детали могут измениться. Задавая правильные вопросы сейчас, вы оказываетесь в более сильной позиции, что бы ни выяснило расследование. Для получения дополнительного контекста о том, почему небольшие организации продолжают оказываться в поле зрения злоумышленников, прочитайте наш материал о группировках программ-вымогателей, атакующих сети МСП, а затем свяжитесь с вашим ИТ-провайдером сегодня.