ConnectWiseへの侵入、数千社が情報窃取の標的に

Microsoftのセキュリティ研究者によると、中国政府と連携するハッカーがConnectWiseのクラウドバックアップサービスに侵入し、同サービスを顧客のシステムに接続するための認証情報を盗んだ。この認証情報を使えば、攻撃者は正規ユーザーになりすまして顧客のMicrosoft環境に侵入し、メールなどのファイルにアクセスできる可能性がある。

Microsoftによると、ハッカーはAIエージェントを使い、約2,250の組織に対して1分あたり約3,000回のサインインを試みた。この数字はサインインの試行回数を示すもので、成功した件数や被害を受けた組織は明らかにされていない。

侵害の仕組み

盗まれたアプリケーション認証情報は、ConnectWiseのバックアップサービスと企業顧客のアカウントを接続するものだ。顧客のMicrosoft環境に侵入した攻撃者は、ConnectWiseに保管されたバックアップだけでなく、その環境内のデータにもアクセスできる可能性がある。

Microsoftは、攻撃の速さはARTEXによるものだとしている。ARTEXは、AIモデルと連携してサイバー防御のストレステストを行うために開発されたオープンソースのAIフレームワークだ。同じソフトウェアは、最近発生した韓国の金融システムへの侵入でも使われたという。この事案では、多くの組織でセキュリティが脆弱で、多要素認証も導入されていなかったと報じられている。ARTEXがいずれの事案でどのように使われたか、技術的な詳細は示されていない。

ConnectWiseの対応

ConnectWiseは、クラウドバックアップシステムへのアクセスを一時停止し、侵害について調査していると発表した。同社は10月22日、サービスの復旧に取り組んでいると明らかにした。被害を受けた顧客や、実際にアクセスされたアカウント数、攻撃者が取得したデータの内容は明らかにされていない。

Microsoftの説明は、認証情報が盗まれると、サービス提供会社への侵入が顧客自身のシステムに入り込む足がかりになり得ることを示している。ただし、報告されたサインイン試行の速さだけでは、標的となったすべての組織が侵害されたとは言えない。