ConnectWise tạm ngừng dịch vụ sao lưu, bảo mật và quản lý đám mây để điều tra sự cố an ninh

ConnectWise, nhà cung cấp nền tảng SaaS cho các đơn vị cung cấp dịch vụ quản lý (MSP), đã buộc phải tạm dừng một loạt dịch vụ sau khi phát hiện truy cập trái phép vào môi trường đám mây của mình. Sự việc làm dấy lên lo ngại về chuỗi cung ứng bảo mật, bởi các MSP thường là mục tiêu hấp dẫn để tin tặc tấn công hàng loạt khách hàng doanh nghiệp phía sau.

Dịch vụ bị gián đoạn từ giữa tháng 10

Theo thông báo của ConnectWise, ngày 15/10 hãng đã "phát hiện truy cập trái phép vào các danh tính ứng dụng trong môi trường ConnectWise Cloud Backup". Một ngày sau, công ty công bố khuyến cáo và bắt đầu tạm ngừng dịch vụ.

Đợt gián đoạn ảnh hưởng đến ba dịch vụ chính:

• Cloud Backup (trước đây là SkyKick): công cụ sao lưu dữ liệu lưu trữ tại chỗ, trên đám mây và trong các ứng dụng SaaS như Microsoft 365 hay Google Workspace.
• SaaS Security: dịch vụ bảo mật được tích hợp với Cloud Backup.
• Cloud Management: dịch vụ quản lý môi trường khách hàng, cũng tích hợp với Cloud Backup.

ConnectWise cho biết việc tạm ngừng SaaS Security và Cloud Management là biện pháp "thận trọng" trong lúc quá trình điều tra và khắc phục vẫn đang tiếp diễn. Tính đến 16h00 UTC ngày 18/10, các dịch vụ này vẫn chưa hoạt động trở lại, đồng nghĩa người dùng cuối không thể sao lưu dữ liệu, truy cập kho lưu trữ hay khôi phục dữ liệu.

"Các kho lưu trữ hiện có vẫn được mã hóa, cô lập và bảo toàn, không có dấu hiệu bị truy cập trái phép. Các nhóm của chúng tôi tiếp tục giám sát môi trường bị ảnh hưởng, tiến hành phân tích pháp y, săn lùng mối đe dọa và thực hiện các hoạt động khắc phục," Jason Ferguson, Phó chủ tịch phụ trách vận hành bảo mật của ConnectWise, viết trên Reddit.

Huntress cáo buộc thông tin xác thực Microsoft 365 bị đánh cắp

Trong khi ConnectWise công bố khá ít thông tin, chỉ đưa ra một số chỉ dấu xâm nhập (IoC) liên quan đến vài địa chỉ IP và tích hợp với ứng dụng bên thứ ba, hãng bảo mật Huntress lại đưa ra đánh giá gay gắt hơn.

Theo Huntress, "một thông tin xác thực Microsoft 365 (API secret) thuộc về ConnectWise Cloud Backup đã bị xâm phạm, và Huntress xác nhận thông tin này đang được sử dụng để giành quyền truy cập trái phép vào môi trường M365 của khách hàng".

Cụ thể hơn, trong một tenant đối tác của Huntress, một ứng dụng ConnectWise khác là ConnectWise Cloud Management - MS Teams đã tự cấp quyền Global Administrator cho chính nó, rồi thêm thông tin xác thực mới vào hai ứng dụng khác trong cùng tenant — trong đó có một ứng dụng Huntress dành riêng cho đối tác này.

Huntress cảnh báo rằng chỉ vô hiệu hóa các ứng dụng M365, kể cả những ứng dụng ConnectWise bị lạm dụng, không thể xóa bỏ thông tin xác thực đã được thêm vào trước đó. Doanh nghiệp cần rà soát thông tin xác thực trên toàn bộ ứng dụng M365 của mình.

Bài toán khó cho chuỗi cung ứng MSP

ConnectWise từ chối bình luận về việc quy trách nhiệm cho nhóm tấn công, với lý do đang tập trung vào "điều tra, khắc phục và hỗ trợ các đối tác bị ảnh hưởng cùng khách hàng của họ". Hãng cũng đã vô hiệu hóa một số tích hợp giữa Cloud Backup với Exchange, Teams, SharePoint Online và các sản phẩm của chính mình.

Điểm phức tạp nằm ở chỗ ConnectWise không nắm được cấu trúc hạ tầng của khách hàng cuối — điều này là hợp lý vì họ chỉ là nhà cung cấp nền tảng, còn các MSP mới là bên quản lý quan hệ với người dùng cuối. Vì vậy, hãng phụ thuộc vào việc các MSP tự kiểm tra và xử lý đúng cách.

Trên thực tế, các MSP không có nghĩa vụ công bố nền tảng họ sử dụng để cung cấp dịch vụ. Nhiều doanh nghiệp tìm đến MSP chính vì muốn dùng dịch vụ trọn gói mà không cần quan tâm đến công nghệ bên dưới. Khi sự cố xảy ra, những khách hàng cuối này có thể hoàn toàn không biết ConnectWise đóng vai trò gì trong hệ thống của mình.

Bối cảnh và rủi ro tại Việt Nam

Các doanh nghiệp cung cấp dịch vụ cho MSP là mục tiêu tấn công thường xuyên, bởi tin tặc coi việc xâm nhập những nền tảng như ConnectWise là con đường để tấn công toàn bộ đối tác và khách hàng của họ. Vụ tấn công Kaseya năm 2021 là ví dụ điển hình nhất về kiểu tấn công chuỗi cung ứng này.

Tại Việt Nam, nhiều doanh nghiệp vừa và nhỏ đang sử dụng Microsoft 365 thông qua các đối tác CNTT hoặc tích hợp với các nền tảng quản lý từ xa. Các chuyên gia khuyến nghị doanh nghiệp nên chủ động:

• Rà soát toàn bộ ứng dụng và thông tin xác thực trong tenant Microsoft 365, đặc biệt là các ứng dụng có quyền Global Administrator.
• Kiểm tra nhật ký đăng nhập và hoạt động bất thường trên Exchange, Teams và SharePoint Online.
• Yêu cầu nhà cung cấp dịch vụ CNTT xác nhận liệu có sử dụng ConnectWise Cloud Backup hay các dịch vụ liên quan, và liệu môi trường của mình có bị ảnh hưởng hay không.
• Thu hồi và cấp lại thông tin xác thực ứng dụng nghi ngờ bị lộ, thay vì chỉ vô hiệu hóa ứng dụng.

ConnectWise cho biết họ vẫn đang tiếp tục điều tra và khắc phục. Dù chưa có bằng chứng về thiệt hại dữ liệu, sự cố này là lời nhắc nhở rằng trong mô hình dịch vụ chuỗi cung ứng, quyền truy cập của một bên thứ ba có thể trở thành cánh cửa dẫn thẳng vào hệ thống của doanh nghiệp.