ConnectWise: aanval treft honderden klantbedrijven

Samenvatting

ConnectWise Cloud Backup is offline na een aanval waarbij honderden klantbedrijven werden geraakt en ruim driehonderd inlogpogingen slaagden.

ConnectWise Cloud Backup: wat er gebeurt

ConnectWise ontdekte op 15 oktober ongeautoriseerde toegang tot de Cloud Backup-omgeving. Microsoft meldt dat aanvallers de OAuth-app van de dienst hebben gecompromitteerd en daarmee toegangstokens van klanten konden stelen. Huntress registreerde ruim duizend inlogpogingen, waarvan er ruim driehonderd succesvol waren.

De aanvallers voegden credentials toe aan de service principal om toegang te behouden. Volgens Huntress kregen verschillende bedrijven daardoor ongeautoriseerde toegang tot hun omgevingen. ConnectWise haalde Cloud Backup op 17 oktober uit voorzorg offline voor alle partners en hun klanten. Daardoor zijn ook de gekoppelde SaaS Security- en Cloud Management-diensten niet beschikbaar.

OAuth-aanval: waarom dit belangrijk is

De aanval raakt niet alleen een back-updienst. Via ConnectWise konden managed serviceproviders Microsoft 365- en Google Workspace-data van hun klanten beschermen. Een gecompromitteerde OAuth-app vormt daardoor een toegangspunt naar omgevingen die buiten de directe infrastructuur van ConnectWise liggen.

Voor BI-teams zit het risico vooral in de beschikbaarheid en vertrouwelijkheid van gegevens in Microsoft 365 en Google Workspace. Rapportages, documentopslag en gekoppelde werkprocessen kunnen afhankelijk zijn van deze omgevingen. De casus laat daarnaast zien dat service principals en OAuth-toegang naast gebruikersaccounts gecontroleerd moeten worden. Een geldige koppeling kan na een wachtwoordwijziging toegang behouden als beheerders de applicatierechten niet intrekken.

ConnectWise-beheerders: concrete takeaway

Controleer direct de eigen Microsoft 365-omgeving en die van klanten op onbekende applicaties, gestolen toegangstokens en nieuwe credentials bij service principals. Volg de handleiding van ConnectWise, schakel getroffen applicaties uit en behandel Cloud Backup, SaaS Security en Cloud Management als niet-beschikbaar totdat ConnectWise herstel meldt. Leg daarnaast vast welke rapportages en gegevensstromen van deze diensten afhankelijk zijn, zodat BI-processen gecontroleerd kunnen worden hervat.