Масштаб инцидента с ConnectWise показывает, насколько уязвимой становится цепочка поставок в облачных сервисах. Хакеры, связанные с китайским государством, взломали облачный сервис резервного копирования IT-гиганта ConnectWise и похитили учётные данные приложения — ключи, которыми компания устанавливает связь между своей платформой и корпоративными клиентами. Это позволило злоумышленникам получить доступ к Microsoft-среде целевых организаций как авторизованные пользователи, получив возможность читать письма и файлы тысяч компаний.
Особенность атаки в том, как она была проведена. Исследователи Microsoft зафиксировали использование AI-агентов для автоматизированного перебора: хакеры пытались войти в системы с частотой около 3000 попыток входа в минуту. Такая скорость просто не оставляет времени системам безопасности на обнаружение и реакцию. За инструмент отвечает ARTEX — открытое AI-ядро, которое обычно используется для стресс-тестирования защиты, но в данном случае было направлено в деструктивное русло. Та же система применялась при взломе южнокорейских финансовых систем, которые оказались уязвимы из-за отсутствия двухфакторной аутентификации.
Это не изолированный случай — это часть более широкого тренда. За последние месяцы мы видим растущее использование AI-инструментов для масштабирования кибератак: если раньше взлом требовал хотя бы минимального ручного анализа, теперь можно автоматизировать даже подбор доступов к тысячам целей одновременно. Проблема усугубляется тем, что такие инструменты, как ARTEX, находятся в открытом доступе и доступны не только для их прямого назначения.
Сам ConnectWise — платформа управления IT-инфраструктурой и удаленного доступа, которой полагаются тысячи MSP (managed service providers) и корпоративных клиентов по всему миру. Получение доступа к облачному резервному копированию — это не периферийный взлом, это компрометация центрального узла. Компания приостановила доступ к своему облачному сервису резервного копирования и проводит расследование; по последним данным шла работа над восстановлением сервиса.
В контексте российского бизнеса ситуация подчёркивает важность двух вещей: во-первых, критичность многофакторной аутентификации для любых облачных сервисов — это давно не опция, а базовый уровень гигиены, и она должна быть обязательной везде, где обрабатываются данные; во-вторых, необходимость аудита цепочки поставок в облачной инфраструктуре. Для компаний, использующих ConnectWise или подобные платформы управления инфраструктурой, сейчас критична проверка логов доступа к данным за последние месяцы. Если ваша организация хранит чувствительные данные в облаке через MSP или платформу типа ConnectWise, нужно предположить, что доступ мог быть скомпрометирован, и пересмотреть права доступа, ключи и сертификаты.
Инцидент также иллюстрирует, почему рекомендуется не хранить резервные копии в одном месте, в одной облачной среде или под управлением одного провайдера — это классическая стратегия 3-2-1 (три копии, две разные среды, одна вне сети). Если ваша основная резервная копия взломана вместе с основной системой, вы теряете обе. На практике это означает, что часть критичных резервов должна быть либо локальной, либо в другом облачном провайдере, где доступ управляется независимо.
Масштаб этого взлома — около 2250 организаций при попытке атаки почти 3000 знаков в минуту — показывает, что мы вошли в эпоху, когда автоматизированные атаки работают со скоростью и масштабом, недостижимыми для человека. Это означает, что классические подходы к мониторингу безопасности (человек читает логи, ловит аномалии) уже недостаточны. Нужна либо собственная автоматизация мониторинга и реагирования, либо сервисы, которые это делают, либо и то, и другое.