Cum a scăpat token-ul?
ConnectWise a anunțat marți că a oprit mai multe servicii cloud în timp ce investighează o încălcare de securitate care a compromis credentialele legate de soluția sa Cloud Backup. Acestea au fost folosite pentru a accesa mediile Microsoft 365 ale a cel puțin 162 de clienți, declanșând alerte din partea firmei de securitate Huntress privind sesiuni de autentificare suspecte în organizațiile afectate.
Culture picks
DeepSeek deschide API-ul de căutare pentru dezvoltatori
Turbine Capital lansează un fond de 54 de milioane de euro pentru startup-uri DeepTech din Nordics
Apple se poziționează împotriva „frângiei nebune” din AI pe măsură ce revolta crește
Wyze BodyScan Plus: Cântarul smart cu ecran clar și integrare Google HealthIntrarea pare să fi pornit de la un singur cont compromis în platforma de backup a ConnectWise. Atacatorii au folosit credentialele valide pentru a obține acces neautorizat la datele tenant-ului, ocolind în unele cazuri autentificarea cu factori multipli. Compañia susține că breaching a fost descoperit în timpul monitorizării de rutină și că a revocat imediat cheile compromise, pornind o investigație forensică. Lucrând alături de Microsoft și de respondenți la incidente terți, ConnectWise încearcă să determine amploarea exactă și să prevină exploatarea ulterioară.
Analiza inițială indică o configurație greșită în serviciul Cloud Backup, care a expus un token API. Actorii amenințării au colectat token-ul și l-au folosit pentru a se da drept conturi de serviciu legitime, permițându-le să traverseze granițele tenant-urilor în Microsoft 365.
Huntress, partener în ecosistemul de securitate al ConnectWise, a semnalat modele de autentificare anormale, ceea ce a dus la oprirea rapidă a serviciilor afectate. Echipa de securitate a implementat de atunci politici mai stricte de rotație a token-urilor și a îmbunătățit monitorizarea accesului privilegiat.
„Deși regretăm disconfortul cauzat clienților, prioritatea noastră a fost să conținem amenințarea și să securizăm toate mediile afectate”, a declarat un purtător de cuvânt al ConnectWise. „Colaborăm pe deplin cu Microsoft și cu auditori independenți pentru a ne asigura o remediere completă.”
Incidentul ridică îngrijorări privind poziția de securitate a furnizorilor de servicii gestionate (MSP) care gestionează mai multe medii de clienți. Prin centralizarea accesului prin credentiale partajate, MSP-urile pot deveni ținte atractive pentru atacatorii care doresc să își amplifice aria de acțiune. Analistii din industrie avertizează că incidente similare ar putea deveni mai frecvente dacă nu se adoptă practici robuste de gestionare a credentialelor în sector.
Un semnal de alarmă pentru MSP-uri?
Experții recomandă ca organizațiile care folosesc soluții de backup terțe să impună principii zero-trust, să auditeze regulat jurnalele de acces și să solicite autentificare cu factori multipli pentru toate conturile privilegiate. ConnectWise s-a angajat să introducă măsuri de siguranță suplimentare, inclusiv detectarea anomaliilor în timp real și MFA obligatoriu pentru toate conturile de serviciu.
Urmele incidentului ar putea duce la o supraveghere mai strictă din partea reglementatorilor și la noi cerințe de conformitate pentru furnizorii de servicii cloud. Clienții sunt îndemnați să își revizuească setările de securitate, să își reseteze parolele și să monitorizeze orice semne de activitate neautorizată.
Ce date ar fi putut fi accesate în tenant-urile Microsoft 365 compromise? Atacatorii ar fi putut vizualiza e-mailuri, documente și intrări în calendar la care utilizatorii aveau permisiuni. Nu există încă dovezi că fișiere au fost exfiltrate, dar investigațiile continuă.
Cum pot clienții verifica dacă tenantul lor a fost afectat? ConnectWise oferă clienților o listă a conturilor impactate.
Clienții ar trebui, de asemenea, să verifice jurnalele de autentificare Microsoft 365 pentru locații sau dispozitive necunoscute și să urmeze pașii de remediere comunicați de ConnectWise.
Ce măsuri ia ConnectWise pentru a preveni viitoare încălcări? Compania a dezactivat serviciul de backup vulnerabil, a introdus o rotație mai strictă a token-urilor, a impus autentificarea cu factori multipli pentru toate conturile privilegiate și își îmbunătățește capacitățile de monitorizare continuă.