ConnectWise har stängt av några av sina molntjänster som svar på en cyberattack, enligt en rapport från SecurityWeek. Cyberattacken mot ConnectWise och beslutet att stänga av molntjänsterna har betydelse långt utanför ett enskilt företag, eftersom ConnectWise-verktyg används i stor utsträckning av managed service providers (MSP:er) och de småföretag de stödjer.

Det här inlägget är medvetet försiktigt. Källmaterialet som finns tillgängligt för oss bekräftar rubrikens faktum, att ConnectWise stängde av molntjänster efter en attack, men det anger inte orsaken, omfattningen eller vilka kunder som påverkades. Vi kommer inte att gissa oss till dessa detaljer. I stället följer här vad situationen innebär i praktiken och hur du får svar från dem som hanterar din IT.

Vad ConnectWise hittills har bekräftat

Kärnan i rapporten är enkel: ConnectWise tog molntjänster offline som svar på en cyberattack. Att stänga av en tjänst är vanligtvis ett åtgärd för att begränsa skadan, ett sätt att stoppa ytterligare obehörig åtkomst medan en utredning pågår. Det är inte i sig ett bevis på hur många kunder som påverkades eller om några data togs.

Den artikeltext vi granskat innehöll lite utöver rubriken, så flera frågor kvarstår:

  • Vilka specifika molntjänster som stängdes av, och under hur lång tid
  • Hur angriparna tog sig in
  • Om kunddata eller kundmiljöer har nåtts
  • När tjänsterna förväntas vara tillbaka

En del andra sökresultat om ConnectWise beskriver separata incidenter, bland annat en som involverade en komprometterad inloggningsuppgift för Cloud Backup och Microsoft 365-tenants. Vi kan inte bekräfta att dessa rapporter beskriver samma händelse, så behandla dem som kontext snarare än fastställd fakta. Det tillförlitliga draget är att vänta på ConnectWises egna rådgivande meddelanden och fråga din leverantör vad som gäller för dig.

Varför ett leverantörsavbrott drabbar vanliga kunder

De flesta småföretag köper aldrig direkt från ConnectWise. De anlitar en MSP, och MSP:n använder plattformar som ConnectWise för att övervaka enheter, distribuera uppdateringar, tillhandahålla fjärrsupport och hantera säkerhetskopior. Det skapar en kedja: leverantören, MSP:n och MSP:ns många klienter.

När en leverantör i mitten av den kedjan attackeras kan två saker hända samtidigt:

  1. Driftstörningar. Om molntjänster stängs av kan din MSP förlora en del av de verktyg den använder för att stödja dig. Ärenden, fjärråtkomst eller säkerhetskopieringsjobb kan försenas.
  2. Säkerhetsexponering. Fjärrhanteringsverktyg har kraftfull åtkomst till många kundsystem. Om en angripare når leverantörens miljö är oron huruvida den åtkomsten kan riktas nedåt i kedjan.

Det är därför en enda komprometterad leverantör av fjärrhantering kan utsätta så många organisationer för risk. Ett enda intrång kan beröra hundratals företag som aldrig såg angriparen. Det passar också in i ett bredare mönster: vår rapportering om ransomware-gäng som övergår till områdesundertryckning av SMF-nätverk förklarar varför mindre organisationer, ofta nådda via delade verktyg och leverantörer, är attraktiva mål.

Hur du kontrollerar om dina leverantörer påverkades

Du vet kanske inte ens om ditt företag finns i ConnectWise-kedjan. Några steg hjälper dig att ta reda på det:

  • Fråga din MSP direkt. Fråga om de använder ConnectWise-produkter och i så fall vilka (fjärrsupport, säkerhetskopiering, automatisering eller andra).
  • Kontrollera leverantörskommunikation. Leta efter meddelanden från ConnectWise eller din MSP i inkorgen, inklusive skräpposten. Var försiktig med oväntade meddelanden om incidenten, eftersom angripare ofta utnyttjar nyheter om intrång för phishing.
  • Granska dina egna konton. Titta på inloggningsloggar för dina e-post- och molnproduktivitetskonton efter okända platser, nya enheter eller oväntade behörighetsgivningar.
  • Granska tjänstestatus. Använd officiella statussidor, inte länkar i e-post, för att följa återställandet av tjänster.

Om du hittar något konstigt, rapportera det till din leverantör omgående och dokumentera vad du såg och när.

Vad du bör fråga din MSP eller programvaruleverantör nu

Det här är ett bra tillfälle att ställa frågor du kanske inte har ställt tidigare. Rimliga sådana inkluderar:

  • Var några av våra system, konton eller säkerhetskopior kopplade till de påverkade tjänsterna?
  • Har leverantören sagt till dig att kunddata eller inloggningsuppgifter har exponerats?
  • Behöver du rotera lösenord, API-nycklar eller åtkomsttoken, och har du gjort det för vår miljö?
  • Vad är vår reservlösning om dina fjärrverktyg är otillgängliga?
  • Hur och när kommer du att informera oss om du får kännedom om en påverkan på våra data?

En bra leverantör bör kunna svara rakt ut, eller ärligt säga att de fortfarande väntar på leverantörens fynd. Företag som öppet bekräftar incidenter, som vi såg när McKesson bekräftade ett intrång efter utpressningsanspråk, ger kunderna något konkret att agera på. Tystnad är signalen att pressa hårdare.

Vad detta innebär för dig

Om du driver ett småföretag eller förlitar dig på en MSP är den viktigaste lärdomen att din säkerhet delvis beror på leverantörer du kanske aldrig har valt. Du kan inte lappa en leverantörs moln, men du kan begränsa skadan om det komprometteras.

  • Använd unika lösenord och multifaktorautentisering på varje konto som din leverantör rör vid.
  • Behåll minst en säkerhetskopia som är separat från dina huvudsakliga hanteringsverktyg.
  • Vet vem du ska ringa, och hur, om din leverantörs verktyg går offline.
  • Förvänta dig att angripare agerar snabbt efter varje avslöjande. Forskning som Sysdigs dokumentation av en autonom AI-ransomware-attack visar hur snabbt intrång kan fortskrida när åtkomst väl har erhållits.

Om du är en enskild konsument är din exponering mest indirekt, via ett företag som innehar dina data. Håll utkik efter intrångsmeddelanden och var skeptisk mot oväntade meddelanden som nämner incidenten.

Åtgärdbara slutsatser

  • Kontakta din IT-leverantör den här veckan och fråga om ConnectWise-tjänster ingår i din uppsättning.
  • Fråga vad som påverkades, vad de har ändrat och om du behöver återställa några inloggningsuppgifter.
  • Granska inloggningsaktivitet på dina viktiga företagskonton.
  • Skriv ner en enkel plan för leverantörsintrång: vem som ska ringas, vad som ska kopplas bort och hur verksamheten ska fungera utan fjärrverktyg i en dag eller två.
  • Följ officiella uppdateringar från ConnectWise och MSP:n i stället för rykten från tredje part.

Cyberattacken mot ConnectWise och avstängningen av dess molntjänster utvecklas fortfarande, och detaljerna kan ändras. Att ställa rätt frågor nu ger dig ett starkare utgångsläge oavsett vad utredningen kommer fram till. För mer kontext om varför mindre organisationer fortsätter att hamna i angriparnas sikte, läs vår artikel om ransomware-gäng som riktar in sig på SMF-nätverk, och kontakta sedan din IT-leverantör i dag.