Mii de companii au fost vizate de o amplă operațiune de spionaj informatic după ce hackeri chinezi au compromis serviciul de backup în cloud al ConnectWise, o companie specializată în administrarea IT și acces la distanță.
Potrivit cercetătorilor Microsoft, atacatorii au furat date de autentificare care le-au permis să acceseze mediile Microsoft ale clienților, inclusiv e-mailuri și alte fișiere de serviciu.
– articolul continuă mai jos –
Datele de autentificare au deschis accesul către clienți
Atacul a vizat serviciul de backup în cloud al ConnectWise. Hackerii au obținut credențiale folosite pentru conectarea platformei la sistemele companiilor care își salvează datele prin intermediul acestui serviciu.
Cu aceste informații, atacatorii au putut să se autentifice în mediile Microsoft ale clienților ca și cum ar fi fost utilizatori autorizați. Astfel, au avut posibilitatea să acceseze corespondența electronică și alte fișiere, fără să fie nevoie să compromită separat fiecare companie.
Microsoft atribuie operațiunea unor hackeri aliniați intereselor statului chinez. Amploarea incidentului arată cât de mult poate crește riscul atunci când un furnizor IT este compromis, iar accesul său la sistemele clienților ajunge în mâinile unor atacatori.
Agenții AI au accelerat atacurile
Potrivit Microsoft, atacatorii au încercat să acceseze aproximativ 2.250 de organizații, cu un ritm de aproape 3.000 de tentative de autentificare pe minut. O asemenea viteză lasă echipelor de securitate foarte puțin timp pentru a identifica activitatea suspectă și a bloca accesul.
Cercetătorii leagă ritmul operațiunii de utilizarea agenților de inteligență artificială și indică ARTEX, un cadru AI open-source conceput pentru testarea rezistenței sistemelor de securitate. Același instrument ar fi fost folosit și într-un incident recent care a vizat infrastructura financiară din Coreea de Sud, unde unele sisteme aveau protecții slabe și nu foloseau autentificarea multifactor.
Folosirea unor astfel de instrumente poate automatiza o parte importantă a operațiunilor informatice și le permite atacatorilor să lanseze tentative de acces la o scară greu de gestionat prin verificări manuale.
ConnectWise a suspendat serviciul de backup
ConnectWise a anunțat că a suspendat accesul la serviciul său de backup în cloud și că investighează incidentul. Compania lucra la restabilirea serviciului, potrivit unei actualizări publicate joi.
Nu au fost prezentate în informațiile disponibile detalii complete despre toate organizațiile afectate sau despre amploarea accesului obținut de atacatori în fiecare sistem. Rămâne important de stabilit dacă datele accesate au fost doar consultate sau dacă au fost și copiate ori folosite în alte operațiuni.
Incidentul scoate în evidență un risc major pentru companiile care se bazează pe furnizori externi pentru administrarea infrastructurii și protejarea datelor: compromiterea unui singur serviciu poate deschide calea către numeroase organizații, iar automatizarea cu ajutorul AI poate accelera considerabil atacul.
About the Author
