Väčšina firiem si zálohovaciu službu predstavuje ako trezor: dáta sú v nej v bezpečí a keď sa niečo pokazí, jednoducho ich obnovíme. Udalosti posledných dní však ukazujú aj odvrátenú stranu. Útočníci zneužili prístup cloudovej zálohovacej služby ConnectWise Cloud Backup (predtým známej ako SkyKick Cloud Backup), ktorá zálohuje firemné prostredia Microsoft 365, a cez ňu sa dostali do desiatok až stoviek zákazníckych tenantov (tenant je samostatné firemné prostredie v Microsoft 365). ConnectWise službu pre partnerov aj klientov dočasne vypol a zákazníci tak zostali bez zálohovania, kým vyšetrovanie neskončí.

Čo sa stalo

Podľa bezpečnostnej firmy Huntress, ktorá incident ako jedna z prvých podrobne analyzovala, začala podozrivá aktivita 13. a 14. októbra pokusmi o prihlásenie do niekoľkých tenantov advokátskych kancelárií. Od 15. októbra sa útočník pomocou ukradnutého prihlasovacieho údaju, ktorý patril samotnej zálohovacej aplikácii, prihlasoval priamo ako táto aplikácia. Huntress do 16. októbra potvrdila neoprávnené prihlásenia v 162 tenantoch a v približne 50 z nich si aplikácie ConnectWise samy priradili administrátorské roly, najčastejšie Exchange Administrator. V jednom prípade si aplikácia pre správu Teams pridelila dokonca rolu globálneho administrátora a pridala nové prístupové údaje ďalším aplikáciám, čo je typický spôsob, ako si útočník zabezpečí návrat.

Microsoft incident potvrdil a jeho tím pre analýzu hrozieb ho označil za aktívny útok na dodávateľský reťazec (supply-chain). ConnectWise uviedol, že zatiaľ nemá žiadne indície, že by boli kompromitované samotné zálohované dáta partnerov, a že existujúci archív záloh bude po obnovení služby opäť dostupný. Termín obnovenia neuviedol. Kto za útokom stojí a ako útočník k údajom dodávateľa získal prístup, zatiaľ nie je potvrdené. Rovnako nie je jasný konečný počet obetí ani to, či a koľko dát útočník skutočne odcudzil.

Prečo je práve zálohovacia aplikácia taká lákavá

Aby služba mohla zálohovať e-maily, prílohy, súbory na OneDrive a SharePoint či konverzácie v Teams, potrebuje k nim široký prístup. Takáto aplikácia má teda práva čítať, často aj zapisovať, prakticky všetko, čo firma v Microsoft 365 má. Pre útočníka je to ideálny kľúč od celého domu.

Viacfaktorové overenie tu nepomôže

Aplikácie sa neprihlasujú heslom a kódom z mobilu ako ľudia, ale pomocou tajného kľúča alebo certifikátu. Ak sa tento údaj dostane do nesprávnych rúk, MFA sa vôbec neuplatní. Podľa analytikov navyše nestačí zablokovať používateľské relácie: prístup cez aplikáciu tým neukončíte a už vydané tokeny platia až do vypršania.

Jeden dodávateľ, stovky zákazníkov

Útok na dodávateľa služieb je pre útočníkov efektívny, pretože jedným prienikom získajú prístup k mnohým firmám naraz. Huntress opisuje, že útočník postupoval cez tenanty automatizovane, s odstupom niekoľkých sekúnd, akoby pracoval so zoznamom cieľov.

Čo to znamená pre bezpečnosť a obnovu dát

Z pohľadu záchrany dát je tento incident dôležitou pripomienkou: záloha je len taká bezpečná, ako je bezpečný prístup k nej. Zároveň ukazuje, že aj keď dáta nie sú zničené, firma môže dočasne prísť o možnosť zálohovať a obnovovať. Ak by sa v tom čase stala iná nehoda, napríklad omylom zmazaná schránka alebo útok ransomvéru, nemusela by mať aktuálnu zálohu po ruke.

Praktické rady pre firmy

• Dodržiavajte pravidlo 3-2-1: tri kópie dát, na dvoch rôznych typoch médií, jedna mimo hlavného prostredia. Cloudová záloha od jedného dodávateľa by nemala byť jedinou kópiou.
• Majte aspoň jednu zálohu offline alebo nemennú (immutable), ku ktorej sa nedá dostať tými istými prístupovými údajmi ako k produkčným dátam.
• Pravidelne kontrolujte aplikácie tretích strán v Microsoft Entra ID: aké majú oprávnenia, aké roly a či im niekto nepridal nové tajné kľúče či certifikáty.
• Testujte obnovu, nielen zálohovanie. Záloha, z ktorej ste nikdy nič neobnovili, je len predpoklad.
• Ak ste zákazníkmi ConnectWise/SkyKick, riaďte sa odporúčaniami dodávateľa a bezpečnostných firiem: dotknuté aplikácie vypnite, ale nemažte (vypnutie podľa Huntress len pozastaví zálohovanie, existujúce zálohy sa nevymažú) a pred opätovným zapnutím počkajte na potvrdenie, že boli všetky prístupové údaje vymenené.

Čo nerobiť, keď o dáta prídete

• Neobnovujte zálohu „naslepo“ do prostredia, ktoré môže byť stále kompromitované – útočník by mohol obnovené dáta znova zneužiť a zároveň môžete prepísať stopy potrebné na vyšetrovanie.
• Pri lokálnych diskoch, NAS-och či serveroch nespúšťajte opakované kontroly disku, formátovanie ani reinštaláciu systému. Každý zápis znižuje šancu na úspešnú obnovu.
• Pri podozrení na fyzickú poruchu (cvakanie, nerozpoznaný disk, výrazné spomalenie) zariadenie vypnite a nepokúšajte sa ho opakovane zapínať.

Keď zálohy zlyhajú

Zálohovanie je nevyhnutné, no ako ukazuje tento prípad, žiadna jednotlivá služba nie je neomylná. Ak prídete o dôležité dáta a záloha nie je k dispozícii alebo je neúplná, kontaktujte odborníkov na www.zachranaudajov.sk. Neskúšajte svojpomocné opravy ani neznáme programy na obnovu – nesprávny zásah môže poškodenie zhoršiť a znížiť šancu na záchranu dát.

Zdroj: BleepingComputer – Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack; doplnkovo Huntress.