Usługa kopii zapasowych wyłączona po tym, jak jej własny klucz posłużył do czytania poczty klientów

ConnectWise wyłączył własną usługę Cloud Backup w sobotę o 7:00 czasu UTC i nadal jest ona wyłączona. Powód: ktoś zdobył dane uwierzytelniające, których ta usługa używa do logowania się do kont Microsoft 365 klientów, i po cichu korzystał z nich od wtorku.

Przebieg, tak jak opisują go ConnectWise i firma Huntress, jest krótki. Zautomatyzowane próby logowania 13 i 14 października. Prawdziwa złośliwa aktywność 15, w całości z jednego adresu, 144.172.64.128. Próby odnotowano w blisko tysiącu dzierżaw Microsoft 365, około 300 logowań się powiodło, a Huntress potwierdził nieautoryzowany dostęp w 173 z nich. W sobotę ConnectWise wyłączył za jednym razem siedem swoich tożsamości aplikacyjnych, obejmujących Cloud Backup, Cloud Management oraz połączenia z Teams, Exchange Online, SharePoint i Microsoft Graph.

A teraz część, którą warto zrozumieć, nawet jeśli nigdy nie słyszałeś o ConnectWise. Uwierzytelnianie wieloskładnikowe nic nie dało, ponieważ nikt nie logował się jako człowiek. Oprogramowanie do kopii zapasowych ma własny klucz do twojej skrzynki, a ten, kto trzyma ten klucz, dla Microsoftu po prostu jest tym oprogramowaniem. Poczta, pliki OneDrive, dokumenty SharePoint, czaty Teams: wszystko do odczytania. ConnectWise twierdzi, że same archiwa kopii pozostają zaszyfrowane i nic nie wskazuje, by ich dotknięto, i nie podał, kiedy usługa wróci.

Jeśli twoim służbowym komputerem zarządza zewnętrzna firma informatyczna, to jej weekend, nie twój. Nauka dla domu jest prostsza: kopia zapasowa istniejąca wyłącznie na czyimś koncie jest o jedno przejęte konto od tego, by nie być kopią nikogo. Kopia zapasowa jednym kliknięciem w Tendvane przenosi Dokumenty, Obrazy i Pulpit na dysk, który fizycznie należy do ciebie, czyli na kopię przeżywającą czyjś nieudany wtorek.