据 SecurityWeek 报道，ConnectWise 已暂停部分云服务以应对一次网络攻击。ConnectWise 遭网络攻击及其暂停云服务的决定，影响远不止一家公司，因为 ConnectWise 的工具被托管服务提供商（MSP）及其所支持的小型企业广泛使用。

本文刻意保持谨慎。我们可获得的原始材料证实了标题所述事实，即 ConnectWise 在遭受攻击后暂停了云服务，但并未说明原因、范围或哪些客户受到影响。我们不会猜测这些细节。相反，以下内容说明该情况在实际层面意味着什么，以及如何从管理您 IT 的人员那里获得答案。

ConnectWise 迄今为止确认了什么

报道的核心很简单：ConnectWise 因应一次网络攻击而将云服务下线。暂停服务通常是一种遏制措施，是在调查进行期间阻止进一步未经授权访问的方式。这本身并不能证明有多少客户受到影响，或是否有任何数据被窃取。

我们审阅的文章文本除标题外内容甚少，因此仍有几个问题悬而未决：

  • 具体哪些云服务被暂停，暂停多久
  • 攻击者是如何进入的
  • 客户数据或客户环境是否被访问
  • 服务预计何时恢复

关于 ConnectWise 的其他一些搜索结果描述了不同的事件，包括一起涉及 Cloud Backup 凭据泄露和 Microsoft 365 租户的事件。我们无法确认那些报道描述的是同一事件，因此应将其视为背景信息而非既定事实。可靠的做法是等待 ConnectWise 自己的公告，并询问您的提供商哪些情况适用于您。

为什么供应商中断会影响普通客户

大多数小型企业从不直接向 ConnectWise 购买产品。他们聘请 MSP，而 MSP 使用 ConnectWise 等平台来监控设备、推送更新、提供远程支持和管理备份。这就形成了一条链条：供应商、MSP 以及 MSP 的众多客户。

当这条链条中间的供应商遭受攻击时，可能同时发生两件事：

  1. 运营中断。 如果云服务被暂停，您的 MSP 可能会失去部分用于支持您的工具。工单、远程访问或备份任务可能会延迟。
  2. 安全暴露。 远程管理工具对许多客户系统拥有强大的访问权限。如果攻击者进入供应商的环境，令人担忧的是这种访问权限是否会被指向下游。

这就是为什么单一被攻陷的远程管理供应商能让如此多组织面临风险。一次入侵可以触及数百家从未见过攻击者的企业。这也符合一个更广泛的模式：我们对勒索软件团伙转向对中小企业网络进行区域压制的报道解释了为什么较小型组织——往往通过共享工具和提供商被触及——是有吸引力的目标。

如何检查您的提供商是否受到影响

您可能根本不知道自己的企业是否处于 ConnectWise 链条中。以下几个步骤可以帮助您查明：

  • 直接询问您的 MSP。 询问他们是否使用 ConnectWise 产品，如果使用，是哪些（远程支持、备份、自动化或其他）。
  • 检查供应商通信。 在收件箱（包括垃圾邮件文件夹）中查找来自 ConnectWise 或您 MSP 的通知。对关于该事件的可疑消息要保持警惕，因为攻击者经常利用泄露新闻进行钓鱼。
  • 审查您自己的账户。 查看您的电子邮件和云生产力账户的登录日志，留意陌生位置、新设备或意外的权限授予。
  • 查看服务状态。 使用官方状态页面，而非电子邮件中的链接，来跟踪服务的恢复情况。

如果您发现任何异常，请及时向您的提供商报告，并记录您看到的内容及时间。

现在该向您的 MSP 或软件供应商询问什么

这是一个好时机，去问一些您以前可能没问过的问题。合理的问题包括：

  • 我们的任何系统、账户或备份是否与受影响的服务相连？
  • 供应商是否告知您客户数据或凭据已被暴露？
  • 您是否需要轮换密码、API 密钥或访问令牌，您是否已为我们的环境执行了这些操作？
  • 如果您的远程工具不可用，我们的备用方案是什么？
  • 如果您得知我们的数据受到影响，您将如何以及何时通知我们？

一个好的提供商应该能够坦率回答，或者诚实地表示他们仍在等待供应商的调查结果。公开确认事件的公司——正如我们看到 McKesson 在勒索声称后确认泄露那样——给客户提供了可采取行动的具体信息。沉默则是需要加大追问力度的信号。

这对您意味着什么

如果您经营一家小型企业或依赖 MSP，主要的教训是您的安全部分取决于您可能从未选择过的供应商。您无法为供应商的云打补丁，但如果它被攻陷，您可以限制损害。

  • 在您的提供商接触的每个账户上使用唯一密码和多因素认证。
  • 至少保留一份与您主要管理工具分离的备份。
  • 了解如果您的提供商的工具下线，该联系谁以及如何联系。
  • 预期攻击者在任何披露后会迅速行动。诸如 Sysdig 对首次完全自主 AI 勒索软件攻击的记录等研究表明，一旦获得访问权限，入侵可以推进得多快。

如果您是个人消费者，您的暴露主要是间接的，通过持有您数据的企业。留意泄露通知，并对提及该事件的意外消息保持怀疑。

可操作要点

  • 本周联系您的 IT 提供商，询问 ConnectWise 服务是否属于您的配置的一部分。
  • 询问什么受到了影响、他们改变了什么，以及您是否需要重置任何凭据。
  • 审查您关键业务账户的登录活动。
  • 写下一份简单的供应商泄露应对计划：该联系谁、该断开什么，以及如何在没有远程工具的情况下运作一两天。
  • 关注 ConnectWise 和 MSP 的官方更新，而非第三方传言。

ConnectWise 遭网络攻击及其云服务暂停一事仍在发展中，细节可能会变化。现在提出正确的问题，无论调查结果如何，都能让您处于更有利的位置。如需了解更多关于为什么较小型组织不断成为攻击者目标背景，请阅读我们关于勒索软件团伙针对中小企业网络的文章，然后今天就联系您的 IT 提供商。