Stiri din domeniul afacerilor in Romania
Compania americană ConnectWise, unul dintre cei mai importanți furnizori globali de software de management IT pentru furnizorii de servicii gestionate (MSP), a fost forțată să suspende serviciul său de Cloud Backup și să blocheze de urgență șapte identități de aplicație. Măsura drastică a fost luată după ce atacatori cibernetici necunoscuți au reușit să obțină acces neautorizat la credențiale de nivel înalt, compromițând instanțe de Microsoft 365 aparținând a peste o sută de organizații partenere și clienți finali.
Incidentul a generat o alertă majoră în comunitatea internațională de securitate cibernetică, readucând în discuție riscurile sistemice pe care le implică instrumentele terțe de administrare cloud integrate direct în fluxurile critice de date ale companiilor.
Mecanismul atacului: când autorizările din cloud devin vectori de intruziune
Potrivit detaliilor tehnice confirmate pe parcursul investigației, breșa nu a fost cauzată de o vulnerabilitate clasică de tip zero-day în codul sursă al unei aplicații, ci de compromiterea unor credențiale OAuth legitime asociate identităților de aplicație (service principals) din Microsoft Entra ID. Printre conexiunile dezactivate se numără cele responsabile pentru sincronizarea cu Exchange Online, SharePoint Online, Microsoft Teams și Microsoft Graph.
Actorii malițioși au profitat de permisiunile extinse acordate acestor instrumente de backup pentru a efectua acțiuni neautorizate direct în mediile clienților. Deși ConnectWise a precizat că arhivele de date existente sunt criptate și izolate, neexistând dovezi clare că fișierele de rezervă au fost descărcate sau corupte, atacatorii au reușit să folosească accesul pentru a pătrunde în structura internă a conturilor compromise.
Prin revocarea certificatelor digitale și anularea conexiunilor active, producătorul de software a oprit capacitatea de autentificare automată, însă a atras atenția că modificările configurate anterior de atacatori în cadrul instanțelor afectate necesită o remediere manuală din partea fiecărui administrator IT în parte.
De ce autentificarea cu mai mulți factori nu a blocat intruziunea
Un aspect deosebit de îngrijorător pentru directorii de tehnologie (CIO) și responsabilii cu securitatea informației (CISO) este ineficiența mecanismelor standard de protecție în fața acestui incident. Autentificarea cu mai mulți factori (MFA), considerată standardul de aur pentru apărarea utilizatorilor corporate, protejează sesiunile umane de conectare, dar nu are efect asupra autentificării automate de tip aplicație-la-aplicație (machine-to-machine).
Într-un mediu enterprise modern, sute de aplicații SaaS comunică între ele prin tokenuri de acces și drepturi de autorizare permanente, cunoscute în industrie ca identități non-umane (NHI). În momentul în care cheile criptografice sau certificatele secrete ale unei astfel de aplicații sunt compromise, atacatorii acționează nestingheriți cu drepturile depline ale aplicației respective, ocolind complet politicile tradiționale de acces condiționat.
Implicații pentru mediul de afaceri și pașii recomandați echipelor tehnice
Pentru companiile din România care colaborează cu furnizori IT externi sau care utilizează integrări avansate pentru suita Microsoft 365, acest eveniment reprezintă un semnal de alarmă categoric. Externalizarea mentenanței IT către furnizori specializați oferă avantaje competitive considerabile, însă extinde în mod direct perimetrul de atac la nivelul întregului lanț de aprovizionare digitală.
Experții în securitate recomandă departamentelor IT să acționeze imediat prin auditarea jurnalelor de autentificare din consola Microsoft Entra ID, cu accent deosebit pe activitatea derulată de identitățile de serviciu din ultimele săptămâni. Totodată, este esențială verificarea drepturilor de tip administrator global acordate aplicațiilor terțe și revocarea oricăror permisiuni care depășesc strictul necesar operațional.
Dincolo de cazul punctual al ConnectWise, incidentul subliniază nevoia ca mediul de business să își revizuiască strategia de guvernanță a identităților digitale. Protejarea companiilor nu mai depinde exclusiv de parole complexe și instruirea angajaților împotriva tentativelor de phishing, ci impune monitorizarea riguroasă a identităților mașină-mașină și implementarea principiului privilegiului minim pentru toate integrările cloud din companie.