ConnectWise ได้ระงับบริการคลาวด์บางส่วนเพื่อตอบโต้การโจมตีทางไซเบอร์ ตามรายงานของ SecurityWeek การโจมตีทางไซเบอร์ต่อ ConnectWise และการตัดสินใจระงับบริการคลาวด์นั้นมีความสำคัญเกินกว่าบริษัทเดียว เพราะเครื่องมือของ ConnectWise ถูกใช้อย่างแพร่หลายโดยผู้ให้บริการจัดการ (MSPs) และธุรกิจขนาดเล็กที่พวกเขาดูแล
บทความนี้ตั้งใจเขียนอย่างระมัดระวัง เนื้อหาต้นทางที่เรามีอยู่ยืนยันข้อเท็จจริงในพาดหัว คือ ConnectWise ระงับบริการคลาวด์หลังการโจมตี แต่ไม่ได้ระบุสาเหตุ ขอบเขต หรือลูกค้ารายใดได้รับผลกระทบ เราจะไม่คาดเดารายละเอียดเหล่านั้น แต่จะนำเสนอว่าสถานการณ์นี้หมายความอย่างไรในทางปฏิบัติ และจะหาคำตอบจากผู้ที่ดูแลไอทีของคุณได้อย่างไร
สิ่งที่ ConnectWise ยืนยันจนถึงขณะนี้
แก่นของรายงานนั้นเรียบง่าย: ConnectWise นำบริการคลาวด์ออฟไลน์เพื่อตอบโต้การโจมตีทางไซเบอร์ การระงับบริการมักเป็นขั้นตอนการควบคุมความเสียหาย วิธีหยุดการเข้าถึงโดยไม่ได้รับอนุญาตเพิ่มเติมระหว่างการสอบสวน โดยตัวมันเองไม่ใช่หลักฐานว่าลูกค้ากี่รายได้รับผลกระทบหรือมีข้อมูลถูกนำออกไปหรือไม่
ข้อความบทความที่เราตรวจสอบมีเพียงพาดหัวเท่านั้น ดังนั้นจึงยังมีคำถามหลายข้อที่ยังไม่มีคำตอบ:
- บริการคลาวด์ใดบ้างที่ถูกระงับ และนานเท่าใด
- ผู้โจมตีเข้าถึงได้อย่างไร
- ข้อมูลลูกค้าหรือสภาพแวดล้อมของลูกค้าถูกเข้าถึงหรือไม่
- บริการจะกลับมาเมื่อใด
ผลการค้นหาอื่นๆ เกี่ยวกับ ConnectWise อธิบายเหตุการณ์แยกต่างหาก รวมถึงเหตุการณ์หนึ่งที่เกี่ยวข้องกับข้อมูลรับรอง Cloud Backup ที่ถูกบุกรุกและผู้เช่า Microsoft 365 เราไม่สามารถยืนยันได้ว่ารายงานเหล่านั้นอธิบายเหตุการณ์เดียวกัน ดังนั้นควรถือเป็นบริบทมากกว่าข้อเท็จจริงที่ยืนยันแล้ว สิ่งที่เชื่อถือได้คือการรอคำแนะนำจาก ConnectWise เองและถามผู้ให้บริการของคุณว่าสิ่งใดเกี่ยวข้องกับคุณ
ทำไมเหตุขัดข้องของผู้ขายจึงส่งผลถึงลูกค้าทั่วไป
ธุรกิจขนาดเล็กส่วนใหญ่ไม่เคยซื้อจาก ConnectWise โดยตรง พวกเขาจ้าง MSP และ MSP ใช้แพลตฟอร์มอย่าง ConnectWise เพื่อตรวจสอบอุปกรณ์ ผลักดันการอัปเดต ให้การสนับสนุนระยะไกล และจัดการแบ็กอัป สิ่งนี้สร้างห่วงโซ่: ผู้ขาย MSP และลูกค้าจำนวนมากของ MSP
เมื่อผู้ขายที่อยู่ตรงกลางห่วงโซ่นั้นถูกโจมตี สองสิ่งสามารถเกิดขึ้นพร้อมกันได้:
- การหยุดชะงักในการดำเนินงาน หากบริการคลาวด์ถูกระงับ MSP ของคุณอาจสูญเสียเครื่องมือบางส่วนที่ใช้สนับสนุนคุณ การออกตั๋ว การเข้าถึงระยะไกล หรืองานแบ็กอัปอาจล่าช้า
- ความเสี่ยงด้านความปลอดภัย เครื่องมือจัดการระยะไกลมีการเข้าถึงที่ทรงพลังต่อระบบลูกค้าจำนวนมาก หากผู้โจมตีเข้าถึงสภาพแวดล้อมของผู้ขาย ความกังวลคือการเข้าถึงนั้นอาจถูกชี้ไปยังปลายน้ำได้หรือไม่
นี่คือเหตุผลที่ผู้ขายเครื่องมือจัดการระยะไกลรายเดียวที่ถูกบุกรุกสามารถทำให้องค์กรจำนวนมากตกอยู่ในความเสี่ยง การบุกรุกครั้งเดียวสามารถสัมผัสธุรกิจหลายร้อยแห่งที่ไม่เคยเห็นผู้โจมตีเลย และยังสอดคล้องกับรูปแบบที่กว้างขึ้น: การรายงานของเราเกี่ยวกับแก๊ง ransomware ที่เปลี่ยนไปใช้การปราบปรามพื้นที่ของเครือข่าย SME อธิบายว่าทำไมองค์กรขนาดเล็ก ซึ่งมักเข้าถึงผ่านเครื่องมือและผู้ให้บริการที่ใช้ร่วมกัน จึงเป็นเป้าหมายที่น่าดึงดูด
วิธีตรวจสอบว่าผู้ให้บริการของคุณได้รับผลกระทบหรือไม่
คุณอาจไม่รู้ว่าธุรกิจของคุณอยู่ในห่วงโซ่ ConnectWise หรือไม่ มีขั้นตอนบางอย่างที่ช่วยให้คุณทราบได้:
- ถาม MSP ของคุณโดยตรง ถามว่าพวกเขาใช้ผลิตภัณฑ์ ConnectWise หรือไม่ และถ้าใช่ ผลิตภัณฑ์ใดบ้าง (การสนับสนุนระยะไกล แบ็กอัป ระบบอัตโนมัติ หรืออื่นๆ)
- ตรวจสอบการสื่อสารจากผู้ขาย มองหาการแจ้งเตือนจาก ConnectWise หรือ MSP ของคุณในกล่องจดหมาย รวมถึงโฟลเดอร์สแปม ระวังข้อความที่ไม่คาดคิดเกี่ยวกับเหตุการณ์นี้ เพราะผู้โจมตีมักใช้ประโยชน์จากข่าวการบุกรุกเพื่อฟิชชิ่ง
- ตรวจสอบบัญชีของคุณเอง ดูบันทึกการลงชื่อเข้าใช้สำหรับอีเมลและบัญชีผลิตภาพคลาวด์ของคุณสำหรับตำแหน่งที่ไม่คุ้นเคย อุปกรณ์ใหม่ หรือการให้สิทธิ์ที่ไม่คาดคิด
- ตรวจสอบสถานะบริการ ใช้หน้าสถานะอย่างเป็นทางการ ไม่ใช่ลิงก์ในอีเมล เพื่อติดตามการฟื้นฟูบริการ
หากคุณพบสิ่งผิดปกติ ให้รายงานต่อผู้ให้บริการของคุณทันทีและบันทึกสิ่งที่คุณเห็นและเมื่อใด
สิ่งที่ควรถาม MSP หรือผู้ขายซอฟต์แวร์ของคุณตอนนี้
นี่เป็นช่วงเวลาที่ดีในการถามคำถามที่คุณอาจไม่เคยถามมาก่อน คำถามที่สมเหตุสมผลได้แก่:
- ระบบ บัญชี หรือแบ็กอัปของเราเชื่อมต่อกับบริการที่ได้รับผลกระทบหรือไม่
- ผู้ขายบอกคุณหรือไม่ว่าข้อมูลลูกค้าหรือข้อมูลรับรองถูกเปิดเผย
- คุณจำเป็นต้องเปลี่ยนรหัสผ่าน คีย์ API หรือโทเค็นการเข้าถึงหรือไม่ และคุณได้ดำเนินการสำหรับสภาพแวดล้อมของเราแล้วหรือยัง
- แผนสำรองของเราคืออะไรหากเครื่องมือระยะไกลของคุณไม่พร้อมใช้งาน
- คุณจะแจ้งเราเมื่อใดและอย่างไรหากคุณทราบถึงผลกระทบต่อข้อมูลของเรา
ผู้ให้บริการที่ดีควรตอบได้อย่างตรงไปตรงมา หรือพูดตามตรงว่ายังรอผลการสอบสวนจากผู้ขายอยู่ บริษัทที่ยืนยันเหตุการณ์อย่างเปิดเผย ดังที่เราเห็นเมื่อMcKesson ยืนยันการบุกรุกหลังการเรียกร้องค่าสินไหมกรรโชก ให้ลูกค้ามีสิ่งที่ konkret เพื่อดำเนินการ ความเงียบคือสัญญาณให้ผลักดันหนักขึ้น
สิ่งนี้หมายความสำหรับคุณ
หากคุณดำเนินธุรกิจขนาดเล็กหรือพึ่งพา MSP บทเรียนหลักคือความปลอดภัยของคุณขึ้นอยู่กับผู้ขายที่คุณอาจไม่เคยเลือกบางส่วน คุณไม่สามารถแพตช์คลาวด์ของผู้ให้บริการได้ แต่คุณสามารถจำกัดความเสียหายหากถูกบุกรุก
- ใช้รหัสผ่านที่ไม่ซ้ำกันและการตรวจสอบสิทธิ์หลายปัจจัยในทุกบัญชีที่ผู้ให้บริการของคุณเข้าถึง
- เก็บแบ็กอัปอย่างน้อยหนึ่งชุดที่แยกจากเครื่องมือจัดการหลักของคุณ
- รู้ว่าต้องโทรหาใคร และอย่างไร หากเครื่องมือของผู้ให้บริการของคุณออฟไลน์
- คาดว่าผู้โจมตีจะเคลื่อนไหวอย่างรวดเร็วหลังการเปิดเผยใดๆ งานวิจัยเช่นเอกสารของ Sysdig เกี่ยวกับการโจมตี ransomware ด้วย AI อัตโนมัติเต็มรูปแบบแสดงให้เห็นว่าการบุกรุกสามารถดำเนินไปได้เร็วเพียงใดเมื่อได้รับการเข้าถึง
หากคุณเป็นผู้บริโภคindividual การเปิดรับของคุณส่วนใหญ่เป็นทางอ้อม ผ่านธุรกิจที่ถือข้อมูลของคุณ คอยระวังการแจ้งเตือนการบุกรุกและตั้งข้อสงสัยต่อข้อความที่ไม่คาดคิดที่กล่าวถึงเหตุการณ์นี้
ประเด็นสำคัญที่นำไปปฏิบัติได้
- ติดต่อผู้ให้บริการไอทีของคุณสัปดาห์นี้และถามว่าบริการ ConnectWise เป็นส่วนหนึ่งของการตั้งค่าของคุณหรือไม่
- ถามว่าอะไรได้รับผลกระทบ พวกเขาเปลี่ยนแปลงอะไร และคุณจำเป็นต้องรีเซ็ตข้อมูลรับรองใดหรือไม่
- ตรวจสอบกิจกรรมการลงชื่อเข้าใช้ในบัญชีธุรกิจหลักของคุณ
- จดแผนรับมือการบุกรุกของผู้ขายแบบง่ายๆ: โทรหาใคร ตัดการเชื่อมต่ออะไร และดำเนินการอย่างไรโดยไม่มีเครื่องมือระยะไกลเป็นเวลาหนึ่งหรือสองวัน
- ติดตามการอัปเดตอย่างเป็นทางการของ ConnectWise และ MSP แทนข่าวลือจากบุคคลที่สาม
การโจมตีทางไซเบอร์ต่อ ConnectWise และการระงับบริการคลาวด์ยังคงพัฒนาอยู่ และรายละเอียดอาจเปลี่ยนแปลง การถามคำถามที่ถูกต้องตอนนี้ทำให้คุณอยู่ในตำแหน่งที่แข็งแกร่งขึ้นไม่ว่าการสอบสวนจะพบอะไร สำหรับบริบทเพิ่มเติมว่าทำไมองค์กรขนาดเล็กจึงตกเป็นเป้าของผู้โจมตีอยู่เสมอ อ่านบทความของเราเกี่ยวกับแก๊ง ransomware ที่กำหนดเป้าหมายเครือข่าย SME แล้วติดต่อผู้ให้บริการไอทีของคุณวันนี้
