Η ConnectWise διέκοψε την πρόσβαση πελατών στην υπηρεσία Cloud Backup, την πρώην SkyKick, αφού επιτιθέμενοι απέκτησαν πρόσβαση σε ταυτότητες εφαρμογών και παραβίασαν περιβάλλοντα Microsoft 365. Η Huntress εντόπισε τουλάχιστον 162 παραβιασμένους tenants στο δικό της περιβάλλον, ενώ η Microsoft επιβεβαίωσε ύποπτες προσπάθειες ταυτοποίησης από τις 15 Οκτωβρίου. Οι επιτιθέμενοι συνδέονταν απευθείας ως η εφαρμογή backup, με τα δικαιώματα που της είχαν δώσει οι πελάτες, οπότε ο έλεγχος πολλαπλών παραγόντων δεν τους σταματούσε. Η εταιρεία λέει ότι μέχρι στιγμής δεν υπάρχουν ενδείξεις ότι παραβιάστηκαν τα ίδια τα αντίγραφα ασφαλείας.

Τι σημαίνει: Το περιστατικό δείχνει έναν κίνδυνο που πολλές επιχειρήσεις υποτιμούν: τις εφαρμογές τρίτων που έχουν λάβει ευρεία δικαιώματα στο Microsoft 365 και μετά ξεχάστηκαν. Μια λύση backup χρειάζεται πρόσβαση σε email, αρχεία και Teams για να κάνει τη δουλειά της. Αν όμως κλαπούν τα διαπιστευτήρια της εφαρμογής, ο επιτιθέμενος κληρονομεί όλη αυτή την πρόσβαση χωρίς να χρειαστεί κωδικό ή MFA κάποιου χρήστη. Ειδικά για τις ελληνικές μικρομεσαίες επιχειρήσεις που δουλεύουν μέσω εξωτερικού συνεργάτη IT, η εικόνα είναι ανησυχητική, γιατί συχνά δεν γνωρίζουν ποιες εφαρμογές έχει εγκαταστήσει ο πάροχος στον λογαριασμό τους. Η άμεση πρακτική κίνηση είναι μια απογραφή των εφαρμογών και των service principals στο Entra ID, με αφαίρεση όσων δεν χρησιμοποιούνται και περιορισμό των δικαιωμάτων στα απολύτως απαραίτητα. Χρήσιμη είναι επίσης η ενεργοποίηση ειδοποιήσεων όταν μια εφαρμογή αποκτά διαχειριστικούς ρόλους. Για εταιρείες που εμπίπτουν στην οδηγία NIS2, τέτοια περιστατικά εφοδιαστικής αλυσίδας είναι ακριβώς το είδος κινδύνου που πρέπει να καλύπτεται στη διαχείριση προμηθευτών. Τέλος, η υπόθεση θυμίζει ότι η ύπαρξη αντιγράφων ασφαλείας δεν αρκεί αν το ίδιο το εργαλείο backup γίνει σημείο εισόδου.

Διαβάστε το πρωτότυπο στο BleepingComputer

Σχετική υπηρεσία: Ανάπτυξη λογισμικού

Σχετικές ειδήσεις