Ataque à ConnectWise expõe cerca de 2.250 organizações
A Microsoft atribui a intrusão a hackers alinhados com o Estado chinês, que terão usado agentes de inteligência artificial para acelerar o acesso aos clientes. A ConnectWise suspendeu o acesso ao serviço de backup cloud.
O que se passou
Investigadores de segurança da Microsoft atribuem a hackers alinhados com o Estado chinês uma intrusão no serviço de cópias de segurança cloud da ConnectWise. Segundo a Microsoft, o ataque permitiu comprometer cerca de 2.250 organizações clientes.
Os atacantes roubaram credenciais de aplicações usadas para ligar a ConnectWise aos sistemas dos clientes. Com essas credenciais, conseguiam entrar nos ambientes alojados na Microsoft como utilizadores autorizados e aceder a emails e outros ficheiros.
A Microsoft afirma que os hackers recorreram a agentes de inteligência artificial, programas que executam tarefas de forma automatizada, para atingir quase 3.000 tentativas de início de sessão por minuto. A empresa associou essa velocidade ao ARTEX, uma ferramenta de código aberto que trabalha com modelos de IA para testar defesas informáticas.
A ConnectWise suspendeu o acesso ao sistema de backup cloud e abriu uma investigação. Em 22 de outubro, a empresa indicava que estava a trabalhar no restabelecimento do serviço.
O que isto significa
O ataque mostra como uma intrusão num fornecedor pode abrir caminho aos sistemas de muitos clientes. Neste caso, as credenciais que asseguravam a ligação ao serviço de backup serviram também para os atacantes se apresentarem como utilizadores legítimos.
A presença dos dados em ambientes alojados na Microsoft não significa que a origem da intrusão tenha sido nesses ambientes. A investigação da empresa aponta para o roubo de credenciais na ConnectWise como porta de entrada para os clientes.
A utilização de agentes de IA acrescenta velocidade a este tipo de ataque. Segundo a Microsoft, o ritmo das tentativas deixa pouco tempo às equipas de segurança para detetar a atividade e responder, tornando mais exigente a proteção das ligações entre fornecedores e clientes.
Se acompanhas a Microsoft, este episódio é relevante para avaliar os riscos de segurança associados aos serviços empresariais cloud. Os factos conhecidos dizem respeito ao comprometimento de acessos e à interrupção do serviço da ConnectWise, sem permitirem quantificar um impacto financeiro na Microsoft.
Porque deves querer saber
O serviço de backup tornou-se uma porta de entrada
A ConnectWise teve de suspender o acesso ao serviço enquanto investigava a intrusão e trabalhava na recuperação. Para os clientes afetados, o problema não se limitou à disponibilidade das cópias de segurança, porque as credenciais roubadas permitiam aceder a emails e ficheiros.
O caso ajuda-te a distinguir o fornecedor comprometido do ambiente onde os dados foram acedidos. A Microsoft alojava os sistemas dos clientes, mas os seus investigadores identificaram a ConnectWise como origem das credenciais roubadas.
A IA acelera ataques através de fornecedores
O ARTEX foi concebido para testar defesas informáticas, mas, segundo a Microsoft, foi usado para acelerar a intrusão em cerca de 2.250 organizações. Uma ferramenta de teste pode, assim, ser aproveitada para executar ataques em grande escala.
A combinação de credenciais válidas com automação reduz o tempo disponível para reagir. Para avaliares o risco de empresas dependentes de serviços cloud, este episódio mostra que a segurança também depende das permissões concedidas aos fornecedores e da capacidade de detetar o seu uso indevido.
