ConnectWise desactiva las copias de seguridad en la nube ante la preocupación de los MSP de nivel inferior

Va­rios fir­mas de se­gu­ri­dad in­for­ma­ron que un ata­can­te uti­li­zó cre­den­cia­les vin­cu­la­das al pro­duc­to Cloud Bac­kup de Con­nect­Wi­se para au­ten­ti­car­se en en­tor­nos de Mi­cro­soft 365, lo que llevó a la com­pa­ñía a des­ac­ti­var este ser­vi­cio, así como las fun­cio­nes de se­gu­ri­dad y ges­tión en la nube para so­cios y clien­tes mien­tras con­ti­núa la in­ves­ti­ga­ción con una firma es­pe­cia­li­za­da.

Exis­te una dis­cre­pan­cia entre Con­nect­Wi­se y em­pre­sas de ci­ber­se­gu­ri­dad ter­ce­ras res­pec­to al al­can­ce del im­pac­to. Mien­tras que Con­nect­Wi­se se­ña­la que no ha con­fir­ma­do in­ci­den­tes de com­pro­mi­so en los en­tor­nos de los clien­tes de­bi­do a la falta de vi­si­bi­li­dad di­rec­ta, fir­mas como Hun­tress y Todyl afir­man que el ac­ce­so exi­to­so me­dian­te di­chas cre­den­cia­les ya re­pre­sen­ta un im­pac­to des­cen­den­te.

In­ves­ti­ga­do­res de Hun­tress de­tec­ta­ron ac­ti­vi­dad de ini­cio de se­sión en nu­me­ro­sos in­qui­li­nos de Entra uti­li­zan­do una di­rec­ción IP es­pe­cí­fi­ca, e iden­ti­fi­ca­ron casos donde las apli­ca­cio­nes ob­tu­vie­ron el nivel má­xi­mo de ac­ce­so y agre­ga­ron nue­vas cre­den­cia­les. Por su parte, Todyl ad­vir­tió que el actor logró ac­ce­der a in­qui­li­nos de so­cios en un orden es­tric­to, su­gi­rien­do el uso pre­vio de una lista re­co­pi­la­da desde re­gis­tros del pro­vee­dor.

Ante esta si­tua­ción, las or­ga­ni­za­cio­nes afec­ta­das han re­ci­bi­do re­co­men­da­cio­nes orien­ta­das a re­vi­sar cre­den­cia­les, ve­ri­fi­car roles de ad­mi­nis­tra­dor, bus­car ras­tros de per­sis­ten­cia y con­fir­mar el es­ta­do de las apli­ca­cio­nes y res­pal­dos di­rec­ta­men­te con el pro­vee­dor.