Atac cibernetic prin lantul de aprovizionare: ce inseamna compromiterea Microsoft 365

Securitatea in cloud nu mai inseamna de mult doar o parola puternica si o solutie de antivirus instalata pe statia de lucru. In practica de zi cu zi, la clientii nostri din Arad vedem des cum confortul migrarii in ecosisteme precum Microsoft 365 vine la pachet cu o complexitate uriasa a permisiunilor acordate tertilor. Cand o aplicatie terta primeste acces complet la resursele unei companii, increderea pe care o acordam lantului de aprovizionare devine cel mai vulnerabil punct. Noi, la Activ.NET, analizam constant aceste riscuri pentru a ne asigura ca infrastructura partenerilor nostri nu devine o poarta deschisa pentru atacatori.

#Ce s-a intamplat

Recent, un incident major de securitate a lovit ecosistemul Microsoft 365 prin intermediul serviciului Cloud Backup furnizat de ConnectWise, cunoscut anterior sub denumirea de SkyKick. Atacatorii au reusit sa obtina acces neautorizat la identitatile aplicatiilor utilizate pentru backup, folosind permisiunile pe care clientii le-asistaserau deja in trecut. Printr-o scriptare automata, atacatorii s-au autentificat direct ca aplicatie de backup, ocolind complet protectiile de tip multi-factor authentication, deoarece autentificarea s-a facut la nivel de aplicatie, nu de utilizator uman. Odata intrati, acestia au preluat roluri administrative, cum ar fi cel de Exchange Administrator, si au incercat sa obtina persistenta in zeci de medii monitorizate de platforme de securitate precum Huntress sau Todyl.

#Impact pentru firme

Pentru o companie mica sau mijlocie din Romania, un astfel de incident reprezinta un risc operational major. Ganditi-va ce inseamna ca un tert sa aiba acces la tot istoricul de e-mailuri, fisierele din OneDrive, documentele din SharePoint sau discutiile din Microsoft Teams fara ca angajatii sa primeasca vreo alerta vizibila. Timpul pierdut pentru investigarea incidentului, potentiala oprire a serviciilor si riscul de exfiltratie a datelor confidentiale sau financiare se traduc direct in costuri uriase si pierderea reputatiei in fata clientilor. Din experienta noastra pe sisteme reale, multe firme nici nu stiu ce aplicatii au conectat in trecut la contul lor de business.

#Recomandari concrete

Pentru a va proteja compania impotriva unor astfel de atacuri de lant de aprovizionare, echipa Activ.NET va recomanda sa luati urmatoarele masuri imediate:

1. Auditati permisiunile aplicatiilor tertilor: Mergeti in centrul de administrare Microsoft Entra ID si verificati ce aplicatii au roluri privilegiate (Global Administrator sau Exchange Administrator) si revocatile pe cele nefolosite.
2. Limitati permisiunile excesive: Nu acordati niciodata permisiuni de tip Directory.ReadWrite.All decat daca este absolut obligatoriu si doar pentru aplicatii de incredere maxima.
3. Monitorizati log-urile de autentificare: Urmariti constant alertele legate de modificarea rolurilor sau crearea de credentiale noi de catre aplicatii.

Daca aveti nevoie de asistenta tehnica sau de un audit complet al mediului cloud, va invitam sa descoperiti solutijile noastre de Service IT pentru firme si administrare servere.

#Concluziile noastre

Incidentul ConnectWise demonstreaza inca o data ca securitatea cibernetica este un lant fragil, in care veriga slaba poate fi o aplicatie de backup instalata cu ani in urma. Abordarea noastra la Activ.NET pune un accent deosebit pe vigilenta continua si pe principiul acordarii dreptului minim necesar in orice configuratie IT. Doar printr-o mentenanta proactiva si o verificare riguroasa a permisiunilor din cloud putem tine la distanta amenintarile cibernetice moderne.

Inspirat din: BleepingComputer