ConnectWise侵害で2250組織偵察

ConnectWiseの侵害で目を引くのは、侵入そのものよりも攻撃者がそれをどう拡大したかだ。Microsoftによれば、ハッカーは各顧客を個別に破る必要はなく、ConnectWiseがクラウドバックアップサービスを企業顧客に接続するために使うアプリケーション認証情報を窃取し、正規ユーザーとしてログインした。これにより、IT管理・リモートアクセス事業者への1件の侵害が、数千組織にわたるメールやその他のファイルへのアクセスに変わった。

このキャンペーンを防御側が対応できないほど高速にしたのがAIエージェントの使用だ。Microsoftによると、ハッカーは約2,250組織に対して毎分約3,000件のサインインを試み、防御側に検知・対応の時間をほとんど与えなかった。Microsoftが名指ししたARTEXは、サイバー防御の負荷テスト用に設計されたオープンソースAIツールで、最近の韓国金融システム侵害でも使われたとMicrosoftは述べている。同システムの多くはセキュリティが弱く、多要素認証を欠いていた。

ConnectWiseはクラウドバックアップシステムへのアクセスを一時停止し、木曜時点でサービスの復旧作業を進めていると述べた。影響を受けた顧客にとって喫緊の課題は、ハッカーが侵入したかどうかだけでなく、リンクを機能させた認証情報が完全に無効化されたかどうかだ。Microsoftの説明によれば、攻撃者はその処理を上回る速さで動いていた。