Quando la violazione del fornitore diventa la tua

La maggior parte dei consigli di sicurezza presuppone che l'attacco arrivi attraverso i tuoi sistemi: un plugin non aggiornato, una password debole, un header mancante. Questa settimana ha mostrato una strada diversa, ed è quella a cui le piccole imprese sono più esposte. Gli attaccanti non hanno scassinato le loro vittime. Sono entrati da una porta che la maggior parte delle vittime non sapeva nemmeno di possedere: un permesso applicativo concesso a un fornitore di software.

Cosa è successo presso ConnectWise

ConnectWise è una grande azienda di gestione IT. Uno dei suoi prodotti, Cloud Backup (precedentemente noto come SkyKick), viene usato da provider di servizi IT per fare il backup dei dati Microsoft 365 dei loro clienti: caselle di posta, file, Teams e dati di directory. Per fare quel lavoro, l'applicazione detiene permessi molto ampi in ogni organizzazione in cui è installata.

Una credenziale applicativa altamente sensibile è finita in mani ostili. Con essa gli attaccanti potevano autenticarsi come l'applicazione stessa. Nessuna password, nessuna richiesta a più fattori, nessuna e-mail di phishing: un accesso da macchina a macchina che, per la piattaforma, sembrava esattamente il legittimo servizio di backup che faceva il suo lavoro.

Microsoft attribuisce la campagna a Storm-0940, un attore cinese allineato allo Stato. Quel che è successo dopo mostra dove stanno andando gli strumenti d'attacco: il gruppo ha usato un framework agentico di IA open source (ARTEX) per tentare accessi su più di 2.250 tenant Microsoft 365, con punte di circa 2.900 tentativi al minuto. In alcuni casi, riferisce Microsoft, gli attaccanti hanno raggiunto l'accesso cloud privilegiato meno di tre ore dopo il primo aggancio della vittima. L'azienda di sicurezza Huntress ha confermato accessi non autorizzati in 173 tenant. ConnectWise ha portato offline il servizio di backup il 17 ottobre e l'indagine è ancora in corso.

L'ampiezza dell'accesso è la parte su cui ogni azienda dovrebbe riflettere un momento: l'applicazione compromessa poteva leggere e-mail, file e dati di directory. In alcuni tenant gli attaccanti sono andati oltre, cambiando credenziali applicative e assegnazioni di ruolo per lasciare una backdoor che può sopravvivere alla bonifica dell'incidente originale.

Perché una chiave di fornitore apre migliaia di porte

Le aziende passano anni a irrobustire gli accessi umani: password manager, autenticazione a più fattori, accesso condizionale. Ma le applicazioni di terze parti si autenticano come applicazioni. Detengono permessi, non password, e non ricevono richieste MFA. Un consenso concesso una volta, magari anni fa, continua a funzionare finché qualcuno non lo revoca attivamente.

Questa è la lezione strutturale dell'incidente. La tua postura di sicurezza non è solo la somma dei tuoi controlli. Include ogni software a cui è stato mai concesso accesso al tuo ambiente, e la sicurezza dell'azienda dietro ciascuno. Nessuna delle organizzazioni colpite ha scelto di essere attaccata, e la maggior parte non avrebbe potuto ispezionare la gestione interna delle credenziali del fornitore anche volendo.

Lo stesso schema, in ogni settore

Non è una storia isolata. Giorni dopo la divulgazione ConnectWise, l'azienda coreana di software Duzon Bizon, i cui prodotti di contabilità e fisco sono usati da circa 110.000 piccole e medie imprese, ha segnalato un incidente tutto suo: gli attaccanti sono entrati tramite l'account VPN di un singolo dipendente, e tra i dati a rischio figurano buste paga, vendite e documenti fiscali delle piccole aziende che dipendono dal software.

Il filo comune è la concentrazione. Le piccole imprese lavorano con una manciata di fornitori: software di contabilità, backup, hosting, un partner IT. Comprometti un fornitore e raggiungi migliaia di PMI in una volta, ognuna fiduciosa in software che non può auditare. Per un attaccante è una leva che nessuna singola piccola impresa potrebbe offrire.

Cosa puoi realmente controllare

Non puoi patchare l'infrastruttura del tuo fornitore. Quattro cose sono alla tua portata, e corrispondono esattamente a ciò che è successo questa settimana:

Sappi quali app hanno accesso. Fai un inventario delle applicazioni di terze parti collegate al tuo ambiente Microsoft 365 o Google Workspace, inclusi i permessi che detengono. Rimuovi ciò che non usi più: un'integrazione abbandonata un anno fa può avere ancora oggi permessi completi.
Concedi il minimo privilegio, e tratta le integrazioni dei fornitori come account privilegiati. Permessi minimi, revisioni periodiche degli accessi e un modo collaudato per revocare l'accesso rapidamente. Se un fornitore deve leggere le tue caselle di posta, quella connessione merita la stessa attenzione di un account amministratore.
Fai le domande difficili ai tuoi fornitori critici prima di doverlo fare. Come proteggono le credenziali che si collegano al tuo ambiente? Si impegnano a avvisarti dopo una violazione, e con quale rapidità? Com'è la loro storia di incidenti? Queste domande stanno diventando normali negli acquisti, e NIS2 fa della sicurezza della catena di fornitura una parte esplicita del dovere di gestione del rischio per le organizzazioni interessate.
Sorveglia i tuoi fornitori dall'esterno. Dentro il cloud di un fornitore non puoi vedere, ma puoi osservare la loro postura pubblica. Un certificato TLS scaduto, un cambiamento improvviso del DNS o una segnalazione in blocklist presso un fornitore critico sono segnali precoci che qualcosa dalla loro parte non va, ed è esattamente ciò che un monitor esterno può raccogliere per te.

Come aiuta Noroshi

La sorveglianza dei fornitori di Noroshi ti permette di registrare i domini dei fornitori da cui la tua azienda dipende e li controlla in continuo: security header, certificato TLS, postura DNS e blocklist per abusi, con avvisi quando qualcosa cambia. È un quadro di preallarme sulle aziende dietro le tue operazioni, e una prova documentata per le revisioni della catena di fornitura, incluso l'aspetto NIS2.

Per essere chiari sui limiti: nessun monitor esterno avrebbe prevenuto questo specifico furto di credenziale, e non faremo finta di no. Ciò che la sorveglianza dei fornitori ti dà è visibilità dei rischi che dall'esterno si possono vedere, e un quadro mantenuto e pronto alla verifica di chi sono davvero i tuoi fornitori critici. Quello inventario è la prima domanda che ogni auditor, assicuratore e rispondente a incidenti farà.

Attiva la sorveglianza dei fornitori →

Domande e risposte

Come fai a sapere se la tua organizzazione è interessata dall’incidente ConnectWise?

Solo se la tua organizzazione usa ConnectWise Cloud Backup (precedentemente SkyKick), di solito installato dal tuo provider IT. Chiedi al tuo partner IT o controlla l’admin center di Microsoft Entra per le applicazioni enterprise interessate. Microsoft ha consigliato alle organizzazioni interessate di tenere quelle connessioni disabilitate fino a quando non arrivano le istruzioni di ripristino, e di rivedere l’attività di accesso da metà ottobre fino all’inizio del mese, dove i registri lo permettono.

L’autenticazione a più fattori protegge da questo tipo di attacco?

In questo caso no. Gli attaccanti non hanno phishingato una password né superato una richiesta MFA: si sono autenticati come l’applicazione stessa del fornitore, con una credenziale applicativa rubata. L’MFA protegge gli accessi umani. I permessi delle app di terze parti sono una superficie separata che richiede una propria revisione.

Come vedi quali app di terze parti possono accedere al tuo Microsoft 365 o Google Workspace?

In Microsoft 365 un amministratore può elencare le applicazioni enterprise nell’admin center di Entra, inclusi i permessi che ciascuna app detiene. In Google Workspace la console di amministrazione mostra l’accesso delle app di terze parti nelle impostazioni di sicurezza. Entrambi vanno rivisti periodicamente: rimuovi ciò che non usi più e riduci i permessi ampi dove possibile.

← Torna al blog

Scritto da David Hildering, l'ingegnere dietro Noroshi. Di più su Noroshi.