ConnectWise oprește servicii cheie după detectarea accesului neautorizat la clienți

Ce servicii au fost afectate?

ConnectWise a oprit temporar unele dintre serviciile sale SaaS utilizate de furnizori de servicii gestionate, după ce a detectat acces neautorizat în mediile clienților.

Măsura a fost luată pentru a investiga un posibil incident de securitate și afectează instrumente de backup, securitate și management pe care le folosesc firmele IT.

Huntress, o firmă de securitate cibernetică, a susținut că actorii de threat au luat controlul unor conturi Microsoft 365 legate de utilizatorii ConnectWise, ceea ce a declanșat oprirea proactivă.

Acest lucru reflectă grijiile crescătoare privind vulnerabilitățile din lanțul de aprovizionare în ecosistemul MSP, unde platformele centralizate pot deveni puncte unice de eșec dacă sunt compromise.

ConnectWise a confirmat că oprirea este temporară și se concentrează pe conținere, în timp ce analiza forenzică continuă.

Cum au putut exploata atacatorii conexiunea?

Suspendarea impactează pachetele Automate, Manage și Protect ale ConnectWise, utilizate larg de MSP-uri pentru monitorizare la distanță, aplicarea de patch-uri și protejarea datelor clienților.

Clienții care au încercat să acceseze aceste servicii au întâmpinat blocaje la autentificare sau funcționalitate redusă, ceea ce a generat preoccupare largă în comunitatea MSP.

Într-o alertă internă, ConnectWise a spus că decizia a fost luată „din abundă de precautie” după ce a identificat activități anomale consistente cu utilizarea indebită a credențialelor.

Cercetătorii de la Huntress au raportat observații privind încercări de preluare a conturilor M365 legate de credențiale ConnectWise compromise, sugerând că atacatorii au putut folosi platforma ca punct de pivot pentru a ajunge la rețelele clienților.

Până la acest moment, nu există dovezi publice de exfiltrație de date sau implementare de ransomware.

Ce trebuie să facă MSP-urile acum?

Investigatorii verifică dacă actorii au folosit credențiale furate sau ghicite pentru a intra inițial în interfețele administrative ale ConnectWise, apoi să se miște lateral spre manipularea tenantilor M365 ai clienților. Lanțul de acces susțins evidențiază riscurile legate de integrările API privilegiate între uneltele MSP și pachetele de productivitate în cloud.

Experții de securitate avertizează că dacă un atacator câștigă controlul asupra unei consoli de management MSP, poate implementa scripturi malicious, modifica politici de securitate sau crea conturi de acces ascuns în zeci de rețele cliente în același timp.

ConnectWise nu a divulgat dacă autentificarea multifactorială era activată pe conturile afectate sau dacă breach-ul a originit dintr-o campană de phishing, o compromisare de terți sau o vulnerabilitate internă.

Compania a recomandat clienților să reseteze parolele, să auditeze accesul administrativ și să verifice jurnalizele de autentificare M365 pentru anomalii.

ConnectWise a indicat furnizorilor de servicii gestionate să impună controles de acces строги, inclusiv MFA obligatoriu pentru toate conturile administrative și de serviciu, precum și să revizuiască permisiunile de conectare între platforma sa și Microsoft 365. Firma oferă jurnalizări și indicatorii de compromis pentru a ajuta la investigațiile interne și a alăturat echipe forenzice terce pentru a susține analiza.

Huntress recomandă MSP-urilor să trateze orice alertă legată de ConnectWise ca un indicator posibil de compromis mai larg și să izoleze sistemele afectate până la clarificare.

Ce servicii ConnectWise au fost oprite temporar după accesul neautorizat?

Analistii din industrie avertizează că incidentele repetate implicând infrastructura MSP pot deteriora încrederea în modelele de IT externalizat, dacă furnizorii nu îmbunătățesc transparența și protocolele de Oprirea rămâne în vigoare pentru unele servicii, în timp ce ConnectWise lucrează la restaurarea funcționalității complete sub monitorizare de securitate intensificată.

De ce ConnectWise a oprit părți din serviciul său?

Compania a detectat acces neautorizat în sistemele sale și a inițiat o oprire a serviciului pentru a investiga și conține un posibil breach care ar putea afecta mediile clienților.

Există dovezi că datele clienților au fost furate? ConnectWise nu a confirmat furarea de date sau activitatea de ransomware; investigația este în curs și nu există dovezi publice de exfiltrație până acum. Ce trebuie să facă MSP-urile dacă au folosit ConnectWise în perioada oprirei?

MSP-urile trebuie să reseteze toate credențialele legate, să activeze MFA, să verifice jurnalizele de autentificare M365 pentru irregulatități și să monitorizeze mediile clienților pentru semne de activitate neautorizată.