Службу резервного копіювання вимкнули після того, як її ключем читали пошту клієнтів

ConnectWise вимкнула власну службу Cloud Backup у суботу о 7:00 за UTC, і вона досі не працює. Причина: хтось заволодів обліковими даними, якими ця служба входить до облікових записів Microsoft 365 клієнтів, і тихо користувався ними з вівторка.

Послідовність, як її описують ConnectWise і компанія з безпеки Huntress, коротка. Скриптовані спроби входу 13 і 14 жовтня. Справжня шкідлива активність 15 жовтня, уся з однієї адреси, 144.172.64.128. Спроби побачили майже тисяча тенантів Microsoft 365, близько 300 входів вдалися, і Huntress підтвердила несанкціонований доступ у 173 з них. У суботу ConnectWise відразу вимкнула сім своїх програмних ідентичностей, що охоплювали Cloud Backup, Cloud Management і з'єднання з Teams, Exchange Online, SharePoint та Microsoft Graph.

Ось частина, яку варто зрозуміти, навіть якщо ви ніколи не чули про ConnectWise. Багатофакторна автентифікація не дала нічого, бо ніхто не входив як людина. Програма резервного копіювання тримає власний ключ до вашої поштової скриньки, і той, хто тримає цей ключ, для Microsoft просто і є тією програмою. Пошта, файли OneDrive, документи SharePoint, чати Teams: усе доступне для читання. ConnectWise запевняє, що самі архіви копій лишаються зашифрованими і немає ознак, що їх чіпали, і не назвала дати повернення служби.

Якщо вашим робочим комп'ютером керує стороння ІТ-компанія, це їхні вихідні, а не ваші. Для дому урок простіший: резервна копія, яка існує лише в чужому обліковому записі, за один зламаний акаунт від того, щоб не бути нічиєю копією. Резервне копіювання одним кліком у Tendvane копіює Документи, Зображення й Робочий стіл на диск, яким ви фізично володієте, тобто на ту копію, що переживе чийсь невдалий вівторок.