ConnectWise đã tạm ngừng một số dịch vụ đám mây của mình để đối phó với một cuộc tấn công mạng, theo một báo cáo của SecurityWeek. Cuộc tấn công mạng vào ConnectWise và quyết định tạm ngừng dịch vụ đám mây có ý nghĩa vượt xa một công ty, bởi vì các công cụ của ConnectWise được sử dụng rộng rãi bởi các nhà cung cấp dịch vụ được quản lý (MSP) và các doanh nghiệp nhỏ mà họ hỗ trợ.
Bài viết này được thực hiện một cách thận trọng có chủ đích. Tài liệu nguồn mà chúng tôi có xác nhận sự thật chính, rằng ConnectWise đã tạm ngừng dịch vụ đám mây sau một cuộc tấn công, nhưng không nêu rõ nguyên nhân, phạm vi hoặc những khách hàng nào bị ảnh hưởng. Chúng tôi sẽ không đoán những chi tiết đó. Thay vào đó, đây là ý nghĩa của tình huống này trên thực tế và cách nhận câu trả lời từ những người quản lý IT của bạn.
Những gì ConnectWise đã xác nhận cho đến nay
Cốt lõi của báo cáo rất đơn giản: ConnectWise đã đưa dịch vụ đám mây ngoại tuyến để đối phó với một cuộc tấn công mạng. Tạm ngừng một dịch vụ thường là một bước ngăn chặn, một cách để dừng truy cập trái phép thêm trong khi cuộc điều tra diễn ra. Bản thân nó không phải là bằng chứng về việc bao nhiêu khách hàng bị ảnh hưởng hoặc liệu có dữ liệu nào bị lấy đi hay không.
Nội dung bài viết mà chúng tôi xem xét chứa rất ít ngoài tiêu đề, vì vậy một số câu hỏi vẫn còn bỏ ngỏ:
- Những dịch vụ đám mây cụ thể nào đã bị tạm ngừng, và trong bao lâu
- Kẻ tấn công đã xâm nhập bằng cách nào
- Liệu dữ liệu khách hàng hoặc môi trường khách hàng có bị truy cập hay không
- Khi nào dịch vụ dự kiến sẽ trở lại
Một số kết quả tìm kiếm khác về ConnectWise mô tả các sự cố riêng biệt, bao gồm một sự cố liên quan đến thông tin xác thực Cloud Backup bị xâm phạm và các tenant Microsoft 365. Chúng tôi không thể xác nhận rằng những báo cáo đó mô tả cùng một sự kiện, vì vậy hãy coi chúng là bối cảnh chứ không phải sự thật đã được xác lập. Động thái đáng tin cậy là chờ đợi các thông báo của chính ConnectWise và hỏi nhà cung cấp của bạn điều gì áp dụng cho bạn.
Tại sao sự cố ngừng dịch vụ của nhà cung cấp lại ảnh hưởng đến khách hàng thông thường
Hầu hết các doanh nghiệp nhỏ không bao giờ mua trực tiếp từ ConnectWise. Họ thuê một MSP, và MSP sử dụng các nền tảng như ConnectWise để giám sát thiết bị, đẩy bản cập nhật, cung cấp hỗ trợ từ xa và quản lý sao lưu. Điều đó tạo ra một chuỗi: nhà cung cấp, MSP và nhiều khách hàng của MSP.
Khi một nhà cung cấp ở giữa chuỗi đó bị tấn công, hai điều có thể xảy ra cùng lúc:
- Gián đoạn hoạt động. Nếu dịch vụ đám mây bị tạm ngừng, MSP của bạn có thể mất một số công cụ mà họ sử dụng để hỗ trợ bạn. Việc tạo phiếu yêu cầu, truy cập từ xa hoặc các tác vụ sao lưu có thể bị trì hoãn.
- Rủi ro bảo mật. Các công cụ quản lý từ xa nắm giữ quyền truy cập mạnh mẽ vào nhiều hệ thống khách hàng. Nếu kẻ tấn công tiếp cận được môi trường của nhà cung cấp, mối lo là liệu quyền truy cập đó có thể bị nhắm xuống phía hạ nguồn hay không.
Đây là lý do tại sao một nhà cung cấp quản lý từ xa bị xâm phạm duy nhất có thể đặt nhiều tổ chức vào rủi ro. Một vụ xâm nhập có thể chạm đến hàng trăm doanh nghiệp mà chưa từng thấy kẻ tấn công. Điều này cũng phù hợp với một xu hướng rộng hơn: bài viết của chúng tôi về các băng nhóm ransomware chuyển sang đàn áp theo khu vực đối với mạng lưới doanh nghiệp vừa và nhỏ giải thích tại sao các tổ chức nhỏ hơn, thường được tiếp cận thông qua các công cụ và nhà cung cấp dùng chung, lại là mục tiêu hấp dẫn.
Cách kiểm tra xem nhà cung cấp của bạn có bị ảnh hưởng hay không
Bạn có thể không biết liệu doanh nghiệp của bạn có nằm trong chuỗi ConnectWise hay không. Một vài bước giúp bạn tìm ra:
- Hỏi trực tiếp MSP của bạn. Hỏi xem họ có sử dụng sản phẩm ConnectWise không và nếu có, những sản phẩm nào (hỗ trợ từ xa, sao lưu, tự động hóa hoặc khác).
- Kiểm tra thông tin liên lạc từ nhà cung cấp. Tìm các thông báo từ ConnectWise hoặc MSP của bạn trong hộp thư đến, bao gồm cả thư mục spam. Hãy cẩn thận với những tin nhắn bất ngờ về sự cố, vì kẻ tấn công thường lợi dụng tin tức về vi phạm để lừa đảo.
- Xem xét tài khoản của chính bạn. Kiểm tra nhật ký đăng nhập cho email và tài khoản năng suất đám mây của bạn để tìm các vị trí không quen thuộc, thiết bị mới hoặc cấp quyền bất ngờ.
- Xem xét trạng thái dịch vụ. Sử dụng các trang trạng thái chính thức, không phải liên kết trong email, để theo dõi việc khôi phục dịch vụ.
Nếu bạn phát hiện điều gì đó bất thường, hãy báo cáo cho nhà cung cấp của bạn ngay lập tức và ghi lại những gì bạn đã thấy và khi nào.
Những gì cần hỏi MSP hoặc nhà cung cấp phần mềm của bạn ngay bây giờ
Đây là thời điểm tốt để đặt những câu hỏi mà bạn có thể chưa từng hỏi trước đây. Những câu hỏi hợp lý bao gồm:
- Có hệ thống, tài khoản hoặc bản sao lưu nào của chúng tôi được kết nối với các dịch vụ bị ảnh hưởng không?
- Nhà cung cấp có nói với bạn rằng dữ liệu khách hàng hoặc thông tin xác thực đã bị lộ không?
- Bạn có cần thay đổi mật khẩu, khóa API hoặc token truy cập không, và bạn đã làm như vậy cho môi trường của chúng tôi chưa?
- Phương án dự phòng của chúng tôi là gì nếu các công cụ từ xa của bạn không khả dụng?
- Bạn sẽ thông báo cho chúng tôi như thế nào và khi nào nếu bạn biết về tác động đến dữ liệu của chúng tôi?
Một nhà cung cấp tốt nên có thể trả lời rõ ràng, hoặc nói thật rằng họ vẫn đang chờ kết quả điều tra của nhà cung cấp. Các công ty xác nhận sự cố một cách công khai, như chúng ta đã thấy khi McKesson xác nhận vi phạm sau các tuyên bố tống tiền, mang đến cho khách hàng điều gì đó cụ thể để hành động. Sự im lặng là dấu hiệu để thúc đẩy mạnh hơn.
Điều này có nghĩa gì với bạn
Nếu bạn điều hành một doanh nghiệp nhỏ hoặc phụ thuộc vào một MSP, bài học chính là bảo mật của bạn phụ thuộc một phần vào các nhà cung cấp mà bạn có thể chưa từng chọn. Bạn không thể vá đám mây của nhà cung cấp, nhưng bạn có thể hạn chế thiệt hại nếu nó bị xâm phạm.
- Sử dụng mật khẩu duy nhất và xác thực đa yếu tố trên mọi tài khoản mà nhà cung cấp của bạn chạm vào.
- Giữ ít nhất một bản sao lưu tách biệt khỏi các công cụ quản lý chính của bạn.
- Biết ai để gọi, và bằng cách nào, nếu công cụ của nhà cung cấp của bạn ngoại tuyến.
- Dự đoán kẻ tấn công sẽ di chuyển nhanh chóng sau bất kỳ tiết lộ nào. Nghiên cứu như tài liệu của Sysdig về một cuộc tấn công ransomware AI tự động hoàn toàn cho thấy các vụ xâm nhập có thể tiến triển nhanh như thế nào khi đã có quyền truy cập.
Nếu bạn là người tiêu dùng cá nhân, mức độ phơi nhiễm của bạn chủ yếu là gián tiếp, thông qua một doanh nghiệp nắm giữ dữ liệu của bạn. Hãy chú ý đến các thông báo vi phạm và hoài nghi về những tin nhắn bất ngờ đề cập đến sự cố.
Những điểm chính cần hành động
- Liên hệ với nhà cung cấp IT của bạn trong tuần này và hỏi xem các dịch vụ ConnectWise có nằm trong thiết lập của bạn không.
- Hỏi điều gì đã bị ảnh hưởng, họ đã thay đổi gì và liệu bạn có cần đặt lại thông tin xác thực nào không.
- Xem xét hoạt động đăng nhập trên các tài khoản kinh doanh chính của bạn.
- Viết ra một kế hoạch đơn giản cho sự cố vi phạm từ nhà cung cấp: ai để gọi, ngắt kết nối gì và cách vận hành mà không có công cụ từ xa trong một hoặc hai ngày.
- Theo dõi các cập nhật chính thức của ConnectWise và MSP thay vì tin đồn từ bên thứ ba.
Cuộc tấn công mạng vào ConnectWise và việc tạm ngừng các dịch vụ đám mây của nó vẫn đang tiếp diễn, và các chi tiết có thể thay đổi. Đặt những câu hỏi đúng ngay bây giờ đưa bạn vào vị thế mạnh hơn bất kể cuộc điều tra phát hiện ra điều gì. Để biết thêm bối cảnh về lý do tại sao các tổ chức nhỏ hơn tiếp tục lọt vào tầm ngắm của kẻ tấn công, hãy đọc bài viết của chúng tôi về các băng nhóm ransomware nhắm mục tiêu vào mạng lưới doanh nghiệp vừa và nhỏ, sau đó liên hệ với nhà cung cấp IT của bạn ngay hôm nay.
