Hackerii au exploatat serviciul de backup al ConnectWise pentru a ataca tenantii Microsoft 365

Cum au obținut hackerii accesul la identitățile de aplicație?

ConnectWise a dezactivat accesul clienților la serviciul său de Cloud Backup în urma unui atac de tip supply-chain care a permis hackerilor să compromete tenantii Microsoft 365. Breșa a fost descoperită vineri, când administratorii au raportat acces neautorizat la datele clienților în mai multe organizații care folosesc serviciul. Investigatori au confirmat că actorii de threat au exploatat identitățile de aplicație legate de platforma de backup pentru a intra în mediile Microsoft 365 conectate. Incidentul subliniază riscurile în creștere legate de integrarile de terze parti care administrează infrastructura cloud critică.

Atacul a folosit conexiunile de încredere între instrumentul de Cloud Backup al ConnectWise — cunoscut anterior sub numele de SkyKick Cloud Backup — și tenantii Microsoft 365. Prin controlarea identităților de aplicație, hackerii au trecut peste măsurile standard de autentificare și au accesat date sensibile fără să declanseze alertele de securitate obișnuite. ConnectWise a confirmat că oprirea accesului a fost o măsură de precauție pentru a preveni accesul neautorizat suplimentar în timp ce investighează scopul breșei. Clienții afectați sunt notificați direct, iar firma lucrează cu experți în cibersecuritate pentru a remedia credentialele compromise și a restabili accesul securizat.

Analistii de securitate indică că atacatorii au probabil exploatat o vulnerabilitate în fluxul de autentificare între serviciul de backup al ConnectWise și Microsoft 365, posibil prin manipularea tokenurilor sau furarea de credențiale. Deși ConnectWise nu a divulgat metoda exactă, utilizarea identităților de aplicație sugerează o flawă în modul în care permisiunile au fost acordate sau validate în timpul configurării integrării.

Aceasta le-a permis actorilor de threat să se facă să se facă pentru servicii legitime și să extragă date din cutii poștale, site-uri SharePoint și conturi OneDrive în mediile tenant.

Ce pasi pasi lucrează clienții pentru a securiza mediile lor?

Întârzierea în detectare subliniază natura ascunsă a atacatelor bazate pe identitate în ecosistemele cloud.

Organizațiile afectate sunt sfătuite să auditeze activitatea de conectare, să reseteze permisiunile aplicațiilor și să monitorizeze semnele de exfiltrare a datelor. ConnectWise a promis să ofere ghiduri detaliate pentru revocarea tokenurilor compromise și pentru restabilirea conexiunilor securizate odată ce platforma va fi considerată sigură.

Experții din industrie avertizează că riscuri similare de supply-chain există și în alte unelte de management IT care se integratează profund cu platformele cloud, iar furnizorii trebuie să adopte controles de identitate mai stricte și monitorizare continuă.

Incidentul servește ca o amintire starkă că încrederea în serviciile de terze parti trebuie verificată continuu, nu presupusă.

Cum au accesat hackerii identitățile de aplicație în atacul asupra ConnectWise?

Ce date au fost accesate în breșele Microsoft 365?

Hackerii au obținut acces neautorizat la datele clienților, inclusiv e-mailuri, fișiere din SharePoint și OneDrive, și posibil alte servicii Microsoft 365 conectate prin instrumentele de backup compromise.

Este încă disponibil ConnectWise Cloud Backup pentru utilizare? Nu, ConnectWise a închis temporar accesul clienților la serviciul său de Cloud Backup pentru a preveni accesul neautorizat în timp ce investigația este în curs.

Cum pot organizațiile să afle dacă au fost afectate? Clienții trebuie să verifice jurnalurile de audit pentru semne de conectări neobișnuite sau modele de acces la date neobișnuite și să contacteze suportul ConnectWise pentru confirmarea impactului și pașii de remediare.