Il fornitore di backup è la nuova porta d'ingresso, e l'IA l'ha appena sfondata

Quali dei tuoi fornitori potrebbero accedere in questo momento al tuo tenant Microsoft 365 senza password, senza MFA e senza che nessuno se ne accorga? Se non sai rispondere, l'incidente di ConnectWise Cloud Backup è stato scritto per te.

La versione breve: ConnectWise ha sospeso Cloud Backup (ex SkyKick), insieme ai servizi SaaS Security e Cloud Management, dopo che il 14 ottobre è stata rilevata per la prima volta un'attività sospetta. Cybersecurity Dive riferisce che un report di Microsoft collega la campagna a un gruppo legato alla Cina, tracciato come Storm-0940. Secondo il report, il gruppo ha usato uno strumento di penetration testing open source basato su IA agentica, chiamato Artex. Microsoft sostiene che abbia tentato di accedere a più di 2.250 tenant Microsoft 365, con 2.900 tentativi al minuto.

La credenziale era l'attacco, non il prodotto

Fai caso a ciò che non è successo. Secondo Sophos, gli accessi non richiedevano né password utente né MFA, perché l'attaccante si autenticava con l'identità applicativa del fornitore stesso. Sophos afferma che la scansione è partita da un unico server per circa 96 minuti. Aggiunge che non è chiaro come sia stata ottenuta la credenziale.

È la scomoda verità di progettazione delle app di backup multitenant. I clienti danno il consenso una volta, e poi l'identità del fornitore può richiedere token in ogni tenant consenziente. Come ha detto Jon Semon di Huntress a CyberScoop, chiunque possieda la credenziale può richiedere token in qualsiasi tenant in cui l'app è installata, senza alcuna azione del cliente. Pensiamo che sia una concentrazione di rischio che la maggior parte degli acquirenti non ha mai messo in conto. Hai comprato un servizio di backup. Hai anche consegnato a una terza parte una chiave universale, e la sua sicurezza è diventata la tua.

L'aspetto backup peggiora le cose. Il riepilogo di SOCRadar osserva che questi prodotti richiedono spesso autorizzazioni ampie, che possono includere caselle di posta, file e dati di directory. Raggiungono inoltre quei tenant tramite gli MSP, a un solo passaggio da molte piccole organizzazioni. Per un attaccante è un posto molto efficiente in cui stare.

«Scalare come una startup» è la vera notizia

La parte sull'IA merita scetticismo e rispetto in egual misura. Scetticismo, perché Huntress definisce la sua lettura una «ipotesi di lavoro»: un agente di IA che esegue strumenti basati su script, con occasionale intervento umano. Rispetto, perché conta la scala. Enumerare i tenant non è mai stato difficile. Cambia il costo del passo successivo, come la ricognizione, l'escalation dei privilegi o l'installazione di persistenza, su centinaia di bersagli contemporaneamente.

Il CEO di ConnectWise l'ha detto bene: l'IA permette agli attaccanti di mettere alla prova connessioni fidate a quella che Microsoft chiama «velocità di macchina». Aggiungeremmo che i processi dei difensori viaggiano ancora a velocità umana: ticket, e-mail dei fornitori, revisioni settimanali. I numeri di Microsoft parlano di 151.000 accessi falliti in pochi giorni. La maggior parte dei difensori non può fermare a mano un ritmo simile.

Una precisazione sull'attribuzione. Altre ricostruzioni, tra cui quella di CyberScoop, dicevano che l'attore non era stato identificato, e SOCRadar sosteneva lo stesso. L'attribuzione di Microsoft è arrivata dopo. Inoltre, non tutte le cifre sulla portata sono compromissioni confermate. SOCRadar sottolinea che quasi 1.000 tenant con attività di accesso non vanno letti come 1.000 violazioni.

Tratta backup e strumenti MSP come tier zero

Ecco la nostra posizione. I team di sicurezza proteggono da tempo i domain controller e gli identity provider come gioielli della corona. Un connettore di backup con diritti di lettura e scrittura su posta e file, come l'ha descritto Todyl, appartiene allo stesso livello. In pratica significa:

• Fare l'inventario di ogni app di terze parti con consenso nel tuo tenant e verificarla tramite Application ID, non tramite nome visualizzato, come consiglia ConnectWise.
• Impostare avvisi sugli accessi dei service principal da IP inattesi. In questo caso l'app è comparsa da un server anziché dall'infrastruttura Azure normalmente associata.
• Tenere d'occhio le app che si assegnano ruoli da sole o aggiungono segreti ad altre app. Huntress ha visto esattamente questo, e significa che disattivare l'app originale è necessario ma potrebbe non bastare.
• Non dare per scontato che il silenzio nei log significhi sicurezza. SOCRadar osserva che alcune letture via Graph lasciano una traccia di audit limitata.

Il grande sconfitto è il vecchio modello di fiducia, in cui l'attestazione SOC di un fornitore sostituiva i tuoi controlli. I vincitori sono gli attaccanti, finché gli acquirenti non pretenderanno dai fornitori di backup l'isolamento delle credenziali e la visibilità a livello di tenant. La stessa ConnectWise ha dichiarato che la sua architettura non le offre abbastanza visibilità sui tenant a valle per sapere chi sia stato colpito.

Il nostro verdetto: non aspettare il post-mortem. Se gestisci Microsoft 365 tramite un MSP, chiedi questa settimana quali identità dei fornitori hanno un consenso, a cosa possono accedere e chi viene avvisato quando si comportano in modo anomalo. L'IA non ha inventato questa debolezza, ma ha reso poco costoso sfruttarla su larga scala.