ConnectWise ihlalinde 2.250 kuruluş hedef alındı

ConnectWise’ın bulut yedekleme hizmetindeki güvenlik ihlali, şirketin müşterilerinin kurumsal hesaplarını da risk altına soktu. Microsoft’un güvenlik araştırmacılarına göre Çin devletine yakın bilgisayar korsanları, hizmetin müşterilerle veri bağlantısı kurarken kullandığı uygulama kimlik bilgilerini ele geçirdi. Saldırganlar bu bilgilerle müşterilerin Microsoft tarafından barındırılan ortamlarına yetkili bir hesap üzerinden erişmeyi denedi.

Microsoft, yaklaşık 2.250 kuruluşun hedef alındığını ve saldırı girişimlerinin dakikada 3.000’e yaklaştığını açıkladı. Bu yoğunluk, güvenlik ekiplerinin olağan dışı oturum açma trafiğini fark edip müdahale etmesi için dar bir süre bırakıyor. Erişim başarıya ulaşırsa kurumsal e-posta hesapları ve dosyalar da saldırganların ulaşabileceği veriler arasında yer alabiliyor.

Bir hizmet sağlayıcısındaki ihlal müşterilere uzandı

ConnectWise, kurumların verilerini yedeklemesine yardımcı olan bulut hizmetleri sunuyor. Bu tür hizmetlerin müşteri sistemleriyle çalışabilmesi için hesaplar ve uygulamalar arasında bağlantı kurulması gerekiyor. Saldırganların ele geçirdiği kimlik bilgileri, bu bağlantılarda kullanılan erişim bilgileriyle ilgiliydi. Bu nedenle ihlalin olası etkisi ConnectWise’ın kendi sistemleriyle sınırlı kalmadı; müşterilerin Microsoft ortamlarına yönelik giriş denemelerine dönüştü.

Microsoft’un paylaştığı bilgiler, hedef alınan her kuruluşun sistemlerine başarıyla girildiğini göstermiyor. Burada doğrulanan durum, çalınan bilgilerin kullanılarak erişim girişimlerinde bulunulması. Bu ayrım önemli: Bir kuruluşun hedef seçilmesi, e-posta ve dosyalarının mutlaka ele geçirildiği anlamına gelmiyor. Ancak uygulama kimlik bilgilerinin yetkili erişim izlenimi yaratabilmesi, saldırıların kurumsal veriler açısından neden ciddiye alınması gerektiğini açıklıyor.

Olay, yedekleme hizmetlerinin yalnızca depolanan veriler bakımından değil, müşteri sistemlerine bağlanırken kullandıkları hesaplar bakımından da korunması gerektiğini ortaya koyuyor. Bir hizmet sağlayıcısındaki erişim bilgilerinin ele geçirilmesi, sağlayıcıyla bağlantılı kuruluşların hesaplarını da hedef hâline getirebilir. Bu yüzden kurumların üçüncü taraf hizmetleriyle kurulan bağlantıları ve bu bağlantılara tanınan yetkileri düzenli olarak gözden geçirmesi önem taşıyor.

Yapay zekâ araçları girişimlerin hızını artırdı

Microsoft, saldırganların dakikada binlerce oturum açma denemesi yapmasını yapay zekâ ajanlarının kullanımına bağlıyor. Araştırmacıların aktardığına göre saldırılarda ARTEX adlı açık kaynaklı bir yapay zekâ çerçevesinden yararlanıldı. Araç, yapay zekâ modellerini kullanarak siber savunmaları stres testine tabi tutmak için geliştirildi; bu vakada ise saldırı girişimlerini hızlı biçimde ölçeklendirmek amacıyla kullanıldığı bildirildi.

Yüksek deneme hızı, saldırının otomasyonla yürütüldüğüne işaret ediyor. Böyle bir trafik karşısında güvenlik ekiplerinin her girişimi tek tek incelemesi mümkün olmayabilir. Microsoft, girişimlerin hızının tespit ve yanıt için savunma ekiplerine sınırlı zaman bıraktığını belirtiyor. Bu nedenle hesapların korunmasında yalnızca olağan dışı hareketleri sonradan incelemek değil, erişim denemelerini hızlı biçimde belirleyip sınırlayabilmek de önem kazanıyor.

Microsoft, benzer ARTEX yazılımının Güney Kore’nin finans sistemlerini hedef alan yakın tarihli bir ihlalde de kullanıldığını bildirdi. Bu sistemlerin bir bölümünde güvenlik önlemlerinin zayıf olduğu ve çok faktörlü kimlik doğrulamanın bulunmadığı aktarıldı. Bu bilgi, farklı olaylarda aynı tür araçların kullanılabildiğini gösteriyor; ancak ConnectWise saldırısının her ayrıntısının Güney Kore’deki vakayla aynı olduğu anlamına gelmiyor.

ConnectWise hizmete erişimi askıya aldı

ConnectWise, ihlali araştırırken bulut yedekleme sistemine erişimi duraklattı. Şirket, 22 Ekim Perşembe günü hizmeti yeniden çalışır hâle getirmek için çalışmaların sürdüğünü açıkladı. Paylaşılan bilgilerde hizmetin tamamen ne zaman geri döneceğine ilişkin bir tarih verilmedi. Erişimin askıya alınması, müşterilerin yedekleme hizmetini kullanmasını etkileyebilir; buna karşılık şirketin sistem üzerindeki incelemesi ve müdahalesi devam ediyor.

Vaka, kurumsal hizmetlerin birbirine bağlanmasının sağladığı kolaylığın yanında güvenlik sorumluluğunu da büyüttüğünü gösteriyor. Yedekleme hizmetleri verileri korumak için kullanılsa da müşteri ortamlarına erişmekte kullanılan uygulama kimlik bilgileri de kritik güvenlik unsurları arasında yer alıyor. Microsoft’un açıkladığı binlerce denemelik hız, bu bilgilerin korunmasının ve şüpheli girişimlere hızlı yanıt verilmesinin kuruluşlar için neden önemli olduğunu bir kez daha ortaya koyuyor.