ConnectWise: leállított felhőszolgáltatások
A ConnectWise biztonsági incidens miatt ideiglenesen leállította Cloud Backup, SaaS Security és Cloud Management szolgáltatásait. A vállalat október 14-én jogosulatlan hozzáférést észlelt a korábban SkyKick néven működő mentési platform alkalmazásazonosságaihoz. A támadók az ezekhez tartozó hitelesítő adatokkal ügyfelek Microsoft 365-környezeteihez is hozzáférhettek.
A Huntress biztonsági vállalat legalább 162 érintett Microsoft 365-tenantról számolt be. Egy esetben a támadók a ConnectWise Teams-alkalmazás jogosultságát Global Administrator szintre emelték, és további hozzáférések fenntartására alkalmas hitelesítő adatokat hoztak létre. Az incidens így nem pusztán szolgáltatáskiesés, hanem a külső szolgáltatóknak adott felhőjogosultságokkal való visszaélés példája.
A ConnectWise hét alkalmazásazonosságot tiltott le, visszavonta az érintett tanúsítványokat, és külső incidenskezelő szakértőket vont be. Október 20-án a három szolgáltatás továbbra sem működött, szüneteltek az automatikus mentések, nem lehetett hozzáférni a mentési archívumokhoz, és a visszaállítási, biztonsági felügyeleti, valamint egyes felhasználókezelési funkciók sem voltak elérhetők. A vállalat szerint a tárolt mentések titkosítottak és sértetlenek. A szolgáltató október 17. óta nem észlelt újabb sikeres támadói tevékenységet saját megfigyelt környezetében. Ez azonban nem zárja ki, hogy a támadók korábban ügyféloldali hozzáféréseket hoztak létre. A ConnectWise ezért minden partnerének az Entra ID-naplók, alkalmazásjogosultságok és hitelesítő adatok ellenőrzését javasolja, a szolgáltatások visszakapcsolását pedig egyelőre tiltja.
