Connectwise tạm dừng dịch vụ sao lưu, bảo mật sau sự cố
"ConnectWise experienced unauthorized access to application identities within its Cloud Backup environment, leading to a service interruption for Cloud Backup, SaaS Security, and Cloud Management. Huntress reports a compromised M365 API secret is being used to gain unauthorized access to customer environments. Existing archives remain encrypted, and ConnectWise advises partners to investigate for compromise."
Sự cố xâm phạm API secret có thể dẫn đến truy cập trái phép vào dữ liệu nhạy cảm của khách hàng, gây ra mất mát dữ liệu và gián đoạn dịch vụ.
Việc tạm dừng dịch vụ có thể gây gián đoạn hoạt động cho các doanh nghiệp sử dụng dịch vụ của Connectwise. Các MSP cũng có thể phải đối mặt với chi phí khắc phục sự cố và bồi thường cho khách hàng.
Connectwise đã tạm dừng các dịch vụ Cloud Backup, SaaS Security và Cloud Management sau khi phát hiện truy cập trái phép. Huntress cho biết một API secret của M365 đã bị xâm phạm, cho phép truy cập trái phép vào môi trường M365 của khách hàng.
Sự cố này ảnh hưởng đến các đối tác và khách hàng sử dụng Cloud Backup (trước đây là SkyKick). Các dịch vụ SaaS Security và Cloud Management cũng bị tạm dừng để điều tra. Hiện tại, các archive hiện có vẫn được mã hóa và không có dấu hiệu truy cập trái phép.
Connectwise chưa công bố chi tiết về nguyên nhân, chỉ đưa ra một số indicators of compromise liên quan đến các địa chỉ IP và ứng dụng của bên thứ ba. Họ cũng đã vô hiệu hóa một số tích hợp giữa Cloud Backup và các ứng dụng của Microsoft như Exchange, Teams, SharePoint Online.
Huntress ghi nhận một ứng dụng của ConnectWise, Cloud Management - MS Teams, đã tự cấp quyền Global Administrator và thêm thông tin đăng nhập mới vào các ứng dụng khác trong môi trường của đối tác. Họ cảnh báo việc vô hiệu hóa ứng dụng M365 không loại bỏ các credentials đã được thêm.
Connectwise kêu gọi các đối tác kiểm tra môi trường M365 của họ để phát hiện dấu hiệu xâm nhập. Doanh nghiệp Việt Nam sử dụng dịch vụ của các MSP có thể cần liên hệ với nhà cung cấp dịch vụ để được hỗ trợ.
Câu hỏi thường gặp
Các dịch vụ nào của Connectwise bị ảnh hưởng?
Cloud Backup, SaaS Security và Cloud Management đều bị tạm dừng do sự cố truy cập trái phép.
Dữ liệu hiện tại có an toàn không?
Connectwise cho biết các archive hiện có vẫn được mã hóa và không có bằng chứng về truy cập trái phép.
Huntress nói gì về sự cố này?
Huntress cho rằng một API secret của ConnectWise Cloud Backup đã bị xâm phạm, cho phép truy cập trái phép vào môi trường M365 của khách hàng.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự cố này cho thấy tầm quan trọng của việc quản lý API keys và quyền truy cập trong môi trường M365. Các doanh nghiệp Việt Nam nên xem xét lại các tích hợp của họ với các dịch vụ bên thứ ba và đảm bảo tuân thủ các biện pháp bảo mật tốt nhất. Việc kiểm tra định kỳ các quyền truy cập và cập nhật các credentials là rất cần thiết.