ConnectWise e il tempo che resta alla difesa

L’attribuzione e la portata delle osservazioni

Nell’analisi del 21 ottobre Microsoft attribuisce il caso ConnectWise a Storm-0940, attore che descrive come allineato alla Cina, e riferisce l’impiego del framework agentico ARTEX. Sono indicati tentativi di autenticazione verso oltre 2.250 tenant. Nella campagna più ampia, Microsoft ha osservato in più casi l’acquisizione di un accesso privilegiato al cloud in meno di tre ore. Quel tempo non può essere esteso a ogni cliente ConnectWise. [1]

Per valutare la portata del caso occorre rispettare i confini di queste osservazioni. L’attribuzione resta una valutazione di Microsoft e il numero dei tenant raggiunti dai tentativi non coincide con quello delle organizzazioni compromesse. Confondere i due dati altererebbe la valutazione del rischio.

La fiducia accordata alle applicazioni

Sophos descrive autenticazioni effettuate con l’identità applicativa del fornitore e richieste di token Microsoft Graph senza password dell’utente né autenticazione multifattore interattiva. Il meccanismo sfrutta la fiducia già concessa all’applicazione. [3]

Per il management, questo sposta l’attenzione sugli accessi accordati ai servizi esterni. Bisogna conoscere la funzione sostenuta da ciascuna integrazione, le autorizzazioni richieste e le conseguenze della sua sospensione, oltre a sapere chi possa deciderla. La ricognizione deve comprendere anche le integrazioni non più utilizzate ma ancora presenti. La conclusione di un rapporto commerciale non documenta, da sola, la rimozione delle dipendenze tecniche.

Ripristinare il servizio non esaurisce la verifica

Nell’aggiornamento del 22 ottobre alle 00:45 UTC, ConnectWise annuncia un ripristino per fasi, previsto su più giorni, e chiede di attendere le istruzioni specifiche del servizio prima di riattivare le connessioni interessate. Dichiara gli archivi cifrati, isolati e preservati, senza indicazioni di compromissione, e richiede verifiche separate sui singoli tenant Microsoft 365. [2]

La ripresa del servizio deve quindi essere valutata anche dal punto di vista del cliente. Una prova di recupero dovrebbe riguardare dati identificati, riferirsi a un preciso punto temporale e avvenire verso una destinazione controllata. Su questi riscontri il responsabile della continuità può fondare la valutazione di quale parte del lavoro sia recuperabile e quale intervallo rimanga esposto.

Il tempo assorbito dalle decisioni

Sul piano organizzativo, l’accelerazione delle operazioni offensive rende rilevante anche il tempo necessario a coinvolgere i responsabili e ottenere le autorizzazioni. Un allarme tempestivo può perdere parte della propria utilità se il gruppo che lo riceve non sa chi possa autorizzare il contenimento di una connessione critica.

Per capire dove si accumula il ritardo, un’esercitazione può seguire il segnale dal momento della ricezione alla sua valutazione, passando per il coinvolgimento delle funzioni competenti fino alla decisione e al controllo dell’esito. A ogni passaggio devono corrispondere un responsabile e un riscontro. La misura dei ritardi interni offre così una base osservabile per valutare la readiness, senza attribuire all’organizzazione prestazioni mai verificate.

Nella risposta all’incidente, autorizzazione dell’applicazione, autenticazione, modifiche ai privilegi e attività sui dati devono essere ricostruite separatamente. Se i log non consentono di concludere, la lacuna va esplicitata. La riattivazione richiede una decisione motivata, condizioni verificabili e un responsabile identificato.

Ciò che resta da accertare

Le istruzioni formali di riconnessione, i risultati delle verifiche locali e gli esiti delle prove di recupero saranno decisivi per seguire l’evoluzione del caso. Le informazioni pubbliche non consentono di calcolare la probabilità di compromissione di un singolo cliente, né di isolare il contributo dell’AI all’accelerazione osservata.

Questi sviluppi integrano la precedente analisi del fermo di Cloud Backup e dei ripristini, che rimane consultabile nel contesto informativo in cui fu redatta.