Microsoft güvenlik araştırmacılarına göre, Çin devletiyle bağlantılı bilgisayar korsanları ConnectWise’ın bulut yedekleme hizmetine sızdı ve bu hizmeti müşterilerin sistemlerine bağlamak için kullanılan kimlik bilgilerini çaldı. Bu bilgiler, saldırganların müşterilerin Microsoft’ta barındırılan ortamlarına yetkili kullanıcı gibi girip e-postalara ve diğer dosyalara erişmesine olanak tanıyabilir.
Microsoft, bilgisayar korsanlarının yapay zekâ ajanlarını kullanarak yaklaşık 2.250 kuruluşa dakikada yaklaşık 3.000 oturum açma girişiminde bulunduğunu söylüyor. Bu sayı, denenen oturum açma işlemlerini ifade ediyor; kaynak, bunların kaçının başarılı olduğunu belirtmiyor ve etkilenen kuruluşları açıklamıyor.
İhlal nasıl gerçekleşti?
Çalınan uygulama kimlik bilgileri, ConnectWise’ın yedekleme hizmeti ile kurumsal müşterilerin hesapları arasındaki bağlantıyı sağlıyor. Saldırganlar müşterilerin Microsoft ortamına girdikten sonra yalnızca ConnectWise’ta tutulan yedeklere değil, buradaki verilere de erişebilir.
Microsoft, saldırı kampanyasının hızını, siber savunmaları stres testine tabi tutmak için yapay zekâ modelleriyle birlikte çalışacak şekilde tasarlanmış açık kaynaklı bir yapay zekâ çerçevesi olan ARTEX’e bağladı. Kaynağa göre aynı yazılım, yakın zamanda Güney Kore’nin finans sistemlerine yönelik bir saldırıda da kullanıldı. Çok sayıda kuruluşun güvenliğinin zayıf olduğu ve çok faktörlü kimlik doğrulamayı kullanmadığı bildirildi. Kaynak, ARTEX’in bu olayların herhangi birinde nasıl kullanıldığına ilişkin teknik ayrıntı vermiyor.
ConnectWise’ın yanıtı
ConnectWise, bulut yedekleme sistemine erişimi duraklattığını ve ihlali araştırdığını söyledi. Şirket, 22 Ekim’de hizmeti yeniden devreye almak için çalıştığını açıkladı. Kaynak, etkilenen müşterilerin adını vermiyor, kaç hesaba başarıyla erişildiğini belirtmiyor ve saldırganların hangi verileri elde ettiğini açıklamıyor.
Microsoft’un açıklaması, çalınan kimlik bilgilerinin bir hizmet sağlayıcısına yönelik ihlali, müşterilerin kendi sistemlerine açılan bir yola dönüştürebileceğini gösteriyor. Ancak bildirilen oturum açma girişimi hızı, tek başına hedef alınan her kuruluşa sızıldığı anlamına gelmiyor.
Neden önemli
Microsoft’ta barındırılan hesaplarını ConnectWise’ın yedekleme hizmetine bağlayan şirketler için çalınan kimlik bilgileri, e-postaları ve diğer dosyaları yedekleme sisteminin ötesinde erişime açık hâle getirebilir. Kaynak, etkilenen müşterileri açıklamadığı ve verilerine erişilen kuruluş sayısını doğrulamadığı için saldırının gerçek kapsamı belirsizliğini koruyor.
