Apagan un servicio de copias de seguridad tras usar su propia llave para leer el correo de los clientes

ConnectWise apagó su propio servicio Cloud Backup el sábado a las 7:00 UTC, y sigue apagado. El motivo: alguien se había hecho con las credenciales que ese servicio usa para entrar en las cuentas de Microsoft 365 de los clientes, y las venía usando en silencio desde el martes.

La secuencia, tal como la cuentan ConnectWise y la firma de seguridad Huntress, es breve. Intentos de inicio de sesión automatizados los días 13 y 14 de octubre. Actividad maliciosa real el 15, toda desde una sola dirección, 144.172.64.128. Cerca de mil inquilinos de Microsoft 365 vieron intentos, unos 300 inicios de sesión funcionaron y Huntress ha confirmado accesos no autorizados dentro de 173 de ellos. El sábado ConnectWise desactivó de golpe siete de sus identidades de aplicación, que cubrían Cloud Backup, Cloud Management y sus conexiones con Teams, Exchange Online, SharePoint y Microsoft Graph.

Aquí está la parte que merece entenderse aunque nunca haya oído hablar de ConnectWise. La autenticación en dos pasos no hizo nada, porque nadie inició sesión como persona. El software de copias guarda su propia llave de su buzón, y quien tenga esa llave sencillamente es el software de copias a ojos de Microsoft. Correo, archivos de OneDrive, documentos de SharePoint, chats de Teams: todo legible. ConnectWise afirma que los archivos de copia siguen cifrados y que no hay señales de que los tocaran, y no ha dicho cuándo volverá el servicio.

Si una empresa informática externa gestiona su PC de trabajo, este es su fin de semana, no el de usted. La lección para casa es más sencilla: una copia de seguridad que solo existe dentro de la cuenta de otro está a una cuenta comprometida de no ser la copia de nadie. La copia de seguridad de un clic de Tendvane lleva Documentos, Imágenes y Escritorio a un disco que usted posee físicamente, que es la copia que sobrevive al mal martes de otra empresa.