Un servizio di backup spento dopo che la sua chiave è servita a leggere le e-mail dei clienti

ConnectWise ha spento il proprio servizio Cloud Backup sabato alle 7 UTC, ed è ancora fermo. Il motivo: qualcuno si era impossessato delle credenziali che quel servizio usa per accedere agli account Microsoft 365 dei clienti, e le stava usando in silenzio da martedì.

La sequenza, come la raccontano ConnectWise e la società di sicurezza Huntress, è breve. Tentativi di accesso automatizzati il 13 e il 14 ottobre. Attività davvero malevola il 15, tutta da un solo indirizzo, 144.172.64.128. Quasi mille tenant Microsoft 365 hanno visto tentativi, circa 300 accessi sono riusciti e Huntress ha confermato accessi non autorizzati in 173 di essi. Sabato ConnectWise ha disattivato in un colpo solo sette delle proprie identità applicative, che coprivano Cloud Backup, Cloud Management e i collegamenti verso Teams, Exchange Online, SharePoint e Microsoft Graph.

Ecco la parte che vale la pena capire anche se di ConnectWise non avete mai sentito parlare. L'autenticazione a più fattori non è servita a nulla, perché nessuno ha fatto il login come persona. Il software di backup possiede una propria chiave della vostra casella di posta, e chi tiene quella chiave per Microsoft è semplicemente il software di backup. Posta, file OneDrive, documenti SharePoint, chat di Teams: tutto leggibile. ConnectWise sostiene che gli archivi di backup restano cifrati e che non ci sono segni che siano stati toccati, e non ha detto quando il servizio tornerà.

Se il vostro PC di lavoro è gestito da una società informatica esterna, questo è il loro fine settimana, non il vostro. La lezione per casa è più semplice: un backup che esiste soltanto dentro l'account di qualcun altro dista un account compromesso dal non essere il backup di nessuno. Il backup in un clic di Tendvane copia Documenti, Immagini e Desktop su un disco che possedete fisicamente, cioè la copia che sopravvive al martedì storto di un'altra azienda.