ConnectWise призупинила деякі зі своїх хмарних сервісів у відповідь на кібератаку, згідно з повідомленням SecurityWeek. Кібератака на ConnectWise та рішення призупинити хмарні сервіси мають значення далеко за межами однієї компанії, оскільки інструменти ConnectWise широко використовуються постачальниками керованих послуг (MSP) і малими підприємствами, які вони підтримують.

Цей допис навмисно обережний. Доступні нам джерела підтверджують головний факт — що ConnectWise призупинила хмарні сервіси після атаки, — але не уточнюють причину, масштаб або які саме клієнти постраждали. Ми не будемо здогадуватися про ці деталі. Натомість ось що ця ситуація означає на практиці та як отримати відповіді від тих, хто керує вашою ІТ-інфраструктурою.

Що ConnectWise підтвердила наразі

Суть повідомлення проста: ConnectWise вивела хмарні сервіси з ладу у відповідь на кібератаку. Призупинення сервісу зазвичай є кроком локалізації — способом зупинити подальший несанкціонований доступ, поки триває розслідування. Це саме по собі не є доказом того, скільки клієнтів постраждало або чи були викрадені якісь дані.

Текст статті, який ми переглянули, містив мало чого, крім заголовка, тому кілька питань залишаються відкритими:

  • Які саме хмарні сервіси були призупинені і на скільки
  • Як зловмисники отримали доступ
  • Чи були скомпрометовані дані клієнтів або середовища клієнтів
  • Коли очікується відновлення роботи сервісів

Деякі інші результати пошуку про ConnectWise описують окремі інциденти, зокрема один, пов'язаний зі скомпрометованим обліковим записом Cloud Backup та орендарями Microsoft 365. Ми не можемо підтвердити, що ці повідомлення описують ту саму подію, тому ставтеся до них як до контексту, а не як до встановленого факту. Надійний крок — дочекатися власних повідомлень ConnectWise і запитати свого постачальника, що стосується вас.

Чому збій у постачальника торкається звичайних клієнтів

Більшість малих підприємств ніколи не купують безпосередньо в ConnectWise. Вони наймають MSP, а MSP використовує такі платформи, як ConnectWise, для моніторингу пристроїв, розповсюдження оновлень, надання віддаленої підтримки та управління резервними копіями. Це створює ланцюжок: постачальник, MSP і численні клієнти MSP.

Коли постачальник у середині цього ланцюжка зазнає атаки, можуть одночасно статися дві речі:

  1. Операційні збої. Якщо хмарні сервіси призупинені, ваш MSP може втратити частину інструментів, які він використовує для вашої підтримки. Обробка заявок, віддалений доступ або завдання резервного копіювання можуть затримуватися.
  2. Загроза безпеці. Інструменти віддаленого управління мають потужний доступ до багатьох систем клієнтів. Якщо зловмисник досягає середовища постачальника, виникає питання, чи можна цей доступ спрямувати далі по ланцюжку.

Ось чому один скомпрометований постачальник інструментів віддаленого управління може наразити на ризик стільки організацій. Один злом може торкнутися сотень підприємств, які ніколи не бачили зловмисника. Це також вписується в ширшу тенденцію: наш матеріал про угруповання програм-вимагачів, що переходять до зонального придушення мереж МСП пояснює, чому менші організації, до яких часто потрапляють через спільні інструменти та постачальників, є привабливими цілями.

Як перевірити, чи постраждали ваші постачальники

Ви можете навіть не знати, чи ваша компанія взагалі є в ланцюжку ConnectWise. Кілька кроків допоможуть це з'ясувати:

  • Запитайте свого MSP напряму. Запитайте, чи використовують вони продукти ConnectWise і, якщо так, які саме (віддалена підтримка, резервне копіювання, автоматизація тощо).
  • Перевірте повідомлення від постачальників. Шукайте повідомлення від ConnectWise або вашого MSP у своїй пошті, зокрема в папці зі спамом. Будьте обережні з неочікуваними повідомленнями про інцидент, оскільки зловмисники часто використовують новини про злами для фішингу.
  • Перегляньте свої облікові записи. Перевірте журнали входу для вашої електронної пошти та хмарних робочих акаунтів на наявність незнайомих місць розташування, нових пристроїв або неочікуваних надань дозволів.
  • Перевірте статус сервісів. Використовуйте офіційні сторінки статусу, а не посилання з електронних листів, щоб стежити за відновленням сервісів.

Якщо ви помітите щось дивне, негайно повідомте про це своєму постачальнику та збережіть запис того, що ви бачили і коли.

Що запитати у вашого MSP або постачальника програмного забезпечення зараз

Це гарний момент, щоб поставити запитання, які ви, можливо, не ставили раніше. Обґрунтовані з них включають:

  • Чи були якісь із наших систем, облікових записів або резервних копій пов'язані з ураженими сервісами?
  • Чи повідомив вам постачальник, що дані клієнтів або облікові дані були скомпрометовані?
  • Чи потрібно змінювати паролі, API-ключі або токени доступу, і чи зробили ви це для нашого середовища?
  • Який наш запасний план, якщо ваші інструменти віддаленого доступу недоступні?
  • Як і коли ви повідомите нас, якщо дізнаєтеся про вплив на наші дані?

Хороший постачальник повинен відповісти чітко або чесно сказати, що все ще чекає на висновки постачальника. Компанії, які відкрито підтверджують інциденти, як ми бачили, коли McKesson підтвердила злам після заяв про вимагання, дають клієнтам щось конкретне, на що можна реагувати. Мовчання — це сигнал тиснути сильніше.

Що це означає для вас

Якщо ви керуєте малим бізнесом або покладаєтеся на MSP, головний урок полягає в тому, що ваша безпека частково залежить від постачальників, яких ви, можливо, ніколи не обирали. Ви не можете виправити хмару постачальника, але ви можете обмежити збитки, якщо її скомпрометовано.

  • Використовуйте унікальні паролі та багатофакторну автентифікацію для кожного облікового запису, до якого торкається ваш постачальник.
  • Зберігайте принаймні одну резервну копію, окрему від ваших основних інструментів управління.
  • Знайте, кому телефонувати і як, якщо інструменти вашого постачальника стануть недоступними.
  • Очікуйте, що зловмисники діятимуть швидко після будь-якого розкриття інформації. Дослідження, як-от документація Sysdig про автономну AI-атаку програм-вимагачів, показують, як швидко можуть розвиватися вторгнення після отримання доступу.

Якщо ви є приватним споживачем, ваш ризик переважно непрямий — через бізнес, який зберігає ваші дані. Стежте за повідомленнями про злами та ставтеся скептично до неочікуваних повідомлень, які згадують інцидент.

Практичні висновки

  • Зв'яжіться зі своїм ІТ-постачальником цього тижня і запитайте, чи є сервіси ConnectWise частиною вашого налаштування.
  • Запитайте, що постраждало, що вони змінили і чи потрібно вам скидати якісь облікові дані.
  • Перегляньте активність входу у ваших ключових бізнес-акаунтах.
  • Запишіть простий план дій на випадок зламу в постачальника: кому телефонувати, що відключати і як працювати без інструментів віддаленого доступу день-два.
  • Дотримуйтеся офіційних оновлень ConnectWise та MSP, а не сторонніх чуток.

Кібератака на ConnectWise та призупинення її хмарних сервісів ще розвиваються, і деталі можуть змінитися. Постановка правильних запитань зараз ставить вас у сильнішу позицію, хоч би що виявило розслідування. Для більшого контексту про те, чому менші організації продовжують опинятися в полі зору зловмисників, прочитайте наш матеріал про угруповання програм-вимагачів, що атакують мережі МСП, а потім зв'яжіться зі своїм ІТ-постачальником сьогодні.