Supplychain-aanval via ConnectWise Cloud Backup raakt tal van bedrijven
Een supplychain-aanval via ConnectWise Cloud Backup, eerder nog bekend als SkyKick, heeft tal van bedrijven en andere organisaties geraakt, zo meldt cybersecuritybedrijf Huntress. Microsoft heeft inmiddels ook een waarschuwing voor de aanval afgegeven. ConnectWise heeft toegang van de Cloud Backup applicatie uitgeschakeld, wat gevolgen heeft voor de back-updiensten waar klanten gebruik van maken.
ConnectWise Cloud Backup is een back-up- en recoverydienst waarmee managed serviceproviders (MSP’s) de Microsoft 365- en Google Workspace-data van hun klanten beschermen. De applicatie krijgt hiervoor brede toegang tot de mailboxes, OneDrive, SharePoint, Teams en directory data van elke omgeving waarin de applicatie is geïnstalleerd.
Aanvallers hebben de OAuth-app van de ConnectWise Cloud Backup gecompromitteerd, om zo access tokens van klanten te stelen en toegang tot hun omgevingen te krijgen, aldus Microsoft. Met deze tokens kunnen de aanvallers mailboxes, bestanden en directory data lezen, net als de back-upsoftware kan. Huntress meldt dat de omgevingen van meer dan 170 organisaties op deze manier zijn gehackt.
Microsoft meldt dat de aanvallers aan de gehackte omgevingen credentials voor de service principal toevoegen om toegang te behouden. Organisaties worden onder andere opgeroepen om logins van de service principal te controleren. Huntress stelt dat de aanvaller ook de M365-applicaties van ConnectWise Cloud Management voor Exchange Online, MS Teams en SharePoint online heeft gecompromitteerd.
Waarom deze aanval zo ingrijpend is
Een aanval die via een vertrouwde dienst als ConnectWise Cloud Backup plaatsvindt, valt onder supplychain-aanvallen en heeft een bijzonder groot bereik doordat de getroffen dienst toegang heeft tot veel verschillende klantomgevingen. Wanneer een OAuth-app of een dienstprincipal gecompromitteerd raakt, kunnen aanvallers toegang krijgen tot dezelfde bronnen als de legitieme applicatie. Dat betekent dat zij e-mails kunnen lezen, bestanden kunnen downloaden en directoryinformatie kunnen inzien of misbruiken.
De schaal van deze incidenten wordt versterkt doordat MSP’s centraal beheer en back-upfuncties uitvoeren voor meerdere klanten. Een enkele gecompromitteerde applicatie kan daarmee tientallen tot honderden klantomgevingen raken zonder dat die klanten zelf direct iets verkeerd deden in hun eigen configuratie.
Wat zijn access tokens en service principals precies
Access tokens zijn digitale bewijsstukken die applicaties gebruiken om namens een gebruiker of dienst toegang te krijgen tot resources. Zodra een aanvaller deze tokens in bezit heeft, kan hij handelen alsof hij de legitieme applicatie of gebruiker is. Een service principal is een identiteit in een cloudomgeving waarmee applicaties en diensten geautoriseerd worden om acties uit te voeren. Als credentials of logins van een service principal zijn toegevoegd of gewijzigd door een aanvaller, kan die toegang op langere termijn behouden worden.
Direct te nemen stappen voor getroffen organisaties
Organisaties die ConnectWise Cloud Backup gebruiken of waarvan MSP’s dit voor hen doen, dienen onmiddellijk te handelen. Belangrijke eerste stappen zijn het intrekken van alle tokens en het uitschakelen van de betrokken OAuth-applicatie totdat duidelijk is dat deze veilig is. Controleer en verwijder verdachte credentials die aan service principals zijn toegevoegd. Draai waar mogelijk een geforceerde herauthenticatie voor applicaties en gebruikers en roteer gevoelige sleutels en wachtwoorden.
Daarnaast is het essentieel om audit- en toegangslogs te onderzoeken op indicators of compromise: ongebruikelijke logins, onverwachte het downloaden van mailboxinhoud, het instellen van rules of forwarding in e-mailaccounts en afwijkende API-activiteiten. Controleer of er ongeautoriseerde mailboxregels, externe forwarding of synchronisaties zijn ingesteld die datalekken kunnen veroorzaken.
Technische en organisatorische maatregelen om verdere schade te beperken
Implementeer en controleer conditional access policies om te verhinderen dat gecompromitteerde tokens zonder aanvullende checks gebruikt kunnen worden. Verplicht waar mogelijk multifactor-authenticatie voor beheerders en accounts met uitgebreide rechten. Beperk de rechten van applicaties tot het minimaal noodzakelijke en voer een review uit van alle geautoriseerde applicaties en toestemmingen binnen uw tenant.
MSP’s moeten hun klanten informeren, aanvullende monitoring inschakelen en samenwerken met leveranciers en securityspecialisten om root cause analyses uit te voeren. Zorg dat incidentresponseprocedures gereed zijn, inclusief communicatie naar klanten en, indien relevant, naar toezichthouders of privacyautoriteiten.
Aanbevelingen voor MSP’s en softwareleveranciers
Leveranciers en MSP’s moeten hun eigen beveiligingshygiëne verhogen: strengere controle op build- en releasepipelines, geheimbeheer, monitoring van supplychaincomponenten en vroegtijdige detectie van misbruik. Gebruik principes als least privilege, tweefactorauthenticatie op ontwikkel- en beheertools en continue scanning van third-party dependencies.
Regelmatige penetratietesten, code-audits en een duidelijk plan voor het intrekken van toegangsrechten bij incidenten helpen om de impact van toekomstige supplychain-incidenten te beperken. Transparante en tijdige communicatie richting klanten over getroffen systemen en genomen maatregelen is cruciaal om vertrouwen te behouden en verdere risico’s te beperken.
Wat organisaties nu kunnen controleren en loggen
Controleer login- en auditlogs op ongebruikelijke serviceprincipal-activiteiten. Doorzoek mailbox- en SharePoint-logs op massale downloads of downloads buiten normale werkuren. Controleer applicatieconsent en admin-consent records en verwijder niet meer noodzakelijke applicaties of herbeoordeel permissies. Gebruik EDR- en SIEM-oplossingen om te correleren en verdacht gedrag snel te detecteren.
Praktische adviezen voor gebruikers en beheerders
Zorg ervoor dat administrators eenvoudige taken niet met globale of brede rechten uitvoeren. Rol MFA breed uit. Zet waar mogelijk alerts op voor ongebruikelijke applicatieconsent en verhoog de loggingretentie voor kritieke eventtypes. Voer regelmatig oefenincidenten uit om te zorgen dat processen en communicatie rondom een echte aanval snel en effectief functioneren.
Vertrouwen herstellen en lessen voor de toekomst
Herstel na een incident vereist zowel technische als organisatorische actie: tokens intrekken, credentials herstellen, permissies beperken en verbeterde monitoring implementeren. Daarnaast gaat het om het leren van het incident: inzichtelijk maken waar de keten is doorbroken en welke maatregelen nodig zijn om herhaling te voorkomen. Zowel softwareleveranciers als klanten dragen verantwoordelijkheid voor robuuste supplychainbeveiliging.
Bij een incident als deze geldt snelheid, grondigheid en transparantie: confronteer de aanval, minimaliseer impact en zorg dat vergelijkbare risico’s in de toekomst worden aangepakt.