ConnectWise Disabilita i Backup Cloud dopo un Incidente di Sicurezza che Ha Coinvolto Credenziali Microsoft 365

ConnectWise, un fornitore di software per fornitori di servizi gestiti (MSP), ha preso la drastica decisione di disabilitare temporaneamente i suoi servizi di backup cloud e gestione SaaS in risposta a un incidente di sicurezza. L'azienda ha identificato un accesso non autorizzato a identità di applicazioni associate al suo prodotto ConnectWise Cloud Backup (precedentemente noto come SkyKick) il 14 ottobre. In seguito a questa scoperta, ConnectWise ha sospeso le funzionalità di backup, ripristino, monitoraggio di sicurezza SaaS e gestione cloud per i propri partner e clienti, avviando al contempo un'indagine approfondita con l'ausilio di una società specializzata in risposta agli incidenti.

Dettagli dell'Incidente e Impatto sui Clienti

Secondo quanto riportato da diverse società di sicurezza, l'attaccante avrebbe utilizzato credenziali compromesse legate al prodotto ConnectWise Cloud Backup per autenticarsi all'interno di tenant Microsoft 365. Questo prodotto, essendo un servizio di backup per dati Microsoft 365, richiede autorizzazioni estese per accedere a carichi di lavoro sensibili come caselle di posta Exchange, OneDrive, SharePoint e Teams. La natura di queste autorizzazioni rende il prodotto un obiettivo appetibile per attori malevoli.

La discrepanza principale tra la comunicazione ufficiale di ConnectWise e le analisi di terze parti riguarda la definizione e la conferma dell'impatto a valle sui clienti MSP. Mentre ConnectWise ha dichiarato di non aver ancora identificato compromissioni confermate a livello di cliente finale, affermando di non avere visibilità diretta sugli ambienti Microsoft 365 dei propri utenti, ricercatori di sicurezza come quelli di Huntress e Todyl sostengono che la sola autenticazione riuscita nei tenant dei clienti tramite le credenziali dell'applicazione ConnectWise costituisca già un impatto significativo, indipendentemente dalla prova di accesso ai dati.

Huntress, in particolare, ha riferito di aver osservato attività di accesso sospette legate a oltre 1.000 tenant Entra, con più di 300 autenticazioni riuscite provenienti da un indirizzo IP associato all'attività non autorizzata. Semon di Huntress ha inoltre evidenziato una campagna mirata verso organizzazioni nei settori della politica, sicurezza nazionale, commercio e minerali critici.

Misure di Sicurezza Adottate da ConnectWise

ConnectWise ha risposto all'incidente revocando certificati utilizzati da connessioni applicative compromesse e invalidando le credenziali condivise relative al Cloud Backup. L'azienda ha inoltre ruotato le credenziali e disabilitato le identità compromesse identificate fino ad oggi. Sono stati forniti agli clienti indicatori di compromissione (IoC) e raccomandazioni per la revisione dei propri tenant Microsoft 365 e di quelli dei loro clienti, inclusi quelli con connessioni SkyKick inattive.

Nonostante le rassicurazioni di ConnectWise riguardo alla mancanza di prove concrete di accesso ai dati dei clienti, la sospensione dei servizi e le dichiarazioni dei ricercatori sollevano preoccupazioni significative per la catena di approvvigionamento della sicurezza informatica, specialmente per gli MSP che si affidano a tali strumenti per proteggere i dati dei loro clienti. La mancanza di visibilità diretta sugli ambienti dei clienti da parte di ConnectWise complica ulteriormente la valutazione completa del rischio e la risposta all'incidente.

L'incidente sottolinea l'importanza critica della sicurezza delle credenziali delle applicazioni e della gestione delle autorizzazioni in ambienti cloud complessi. La fiducia riposta dai clienti nei fornitori di servizi come ConnectWise rende questi ultimi bersagli primari per attacchi mirati a compromettere l'intera catena di approvvigionamento IT.