Sự cố ConnectWise: khi công cụ sao lưu trở thành cửa hậu vào Microsoft 365
Cuộc tấn công chuỗi cung ứng nhắm vào dịch vụ ConnectWise Cloud Backup là sự cố bảo mật trong đó tin tặc chiếm được danh tính ứng dụng và bí mật API của hệ thống sao lưu, từ đó sử dụng quyền truy cập sâu mà doanh nghiệp đã cấp cho dịch vụ này để xâm nhập ít nhất 162 môi trường Microsoft 365, khiến các tài khoản công việc và dữ liệu doanh nghiệp có nguy cơ bị kiểm soát trái phép mà người dùng khó nhận ra ngay. Điểm đáng lo không phải là một lỗi cấu hình nhỏ, mà là việc một dịch vụ sao lưu – vốn được tin tưởng bảo vệ dữ liệu – bị biến thành công cụ xâm nhập. ConnectWise thừa nhận đã phát hiện “truy cập trái phép vào danh tính ứng dụng trong môi trường Cloud Backup” và phải kích hoạt trạng thái gián đoạn dịch vụ để điều tra. Về phía các nhà phân tích bảo mật, thông tin rằng “bí mật API Microsoft 365 thuộc ConnectWise Cloud Backup đã bị xâm phạm và đang được dùng để truy cập trái phép vào môi trường M365 của khách hàng” cho thấy đây là một sự cố nghiêm trọng, đang bị khai thác thực tế chứ không chỉ là rủi ro lý thuyết.
Chuỗi tấn công: từ lỗ hổng sao lưu ConnectWise đến việc tiếp quản tài khoản M365
Để hiểu vì sao Microsoft 365 bị xâm nhập, cần nhìn vào cách tin tặc khai thác lỗ hổng sao lưu ConnectWise. Cloud Backup là công cụ được các nhà cung cấp dịch vụ quản lý (MSP) dùng để sao lưu dữ liệu on-premise, trên cloud và các dịch vụ SaaS như M365, Google Workspace. Muốn làm được điều đó, ứng dụng phải được cấp quyền rộng trong tenant Microsoft 365 của khách hàng – chính những quyền này trở thành bàn đạp cho kẻ tấn công. Theo Huntress, ít nhất 162 môi trường Microsoft 365 đã bị ảnh hưởng trong cuộc tấn công chuỗi cung ứng liên quan đến ConnectWise. Họ ghi nhận trường hợp ứng dụng ConnectWise Cloud Management – MS Teams tự cấp cho mình quyền Global Administrator rồi thêm thông tin xác thực mới vào các ứng dụng khác trong cùng tenant. Đây không còn là chuyện một tài khoản bị lộ mật khẩu, mà là việc kẻ tấn công chiếm được “chìa khóa hệ thống” cấp ứng dụng, từ đó tạo ra các đường truy cập bền vững, khó bị phát hiện và khó bị loại bỏ.
MFA không phải lá chắn tuyệt đối: khoảng trống trong bảo mật tài khoản công việc
Nhiều doanh nghiệp tin rằng chỉ cần bật xác thực hai yếu tố M365 là đã bảo vệ được tài khoản công việc. Sự cố này chứng minh điều ngược lại: MFA cho người dùng không chặn được các hoạt động dựa trên quyền ứng dụng. Tin tặc không đăng nhập bằng tài khoản cá nhân, mà dùng danh tính ứng dụng và bí mật API đã được cấp sẵn trong môi trường Microsoft 365 để thực hiện thao tác. Phương thức tấn công này cho phép chúng truy cập mà không cần qua quy trình đăng nhập thông thường, nên mọi lớp bảo vệ gắn với người dùng – từ mật khẩu mạnh đến xác thực đa yếu tố – đều bị bỏ qua. Vụ việc cho thấy bảo mật tài khoản công việc không thể chỉ dừng ở chính sách cho người dùng cuối. Doanh nghiệp phải coi các ứng dụng tích hợp, dịch vụ bên thứ ba và quyền quản trị mà chúng nắm giữ là một phần của bề mặt tấn công. Nếu bạn không kiểm soát được những “tài khoản ứng dụng” này, bạn đang bỏ trống một cánh cửa lớn trong hệ thống.
Phản ứng của ConnectWise và khoảng trống trách nhiệm trong mô hình MSP
Sau khi phát hiện truy cập trái phép, ConnectWise đã chủ động tắt một loạt dịch vụ: Cloud Backup (trước đây là SkyKick), cùng với SaaS Security và Cloud Management vì chúng tích hợp chặt chẽ với Cloud Backup. Điều này đồng nghĩa đối tác và khách hàng không thể sao lưu, truy cập hay khôi phục dữ liệu trong thời gian điều tra, dù công ty khẳng định các bản lưu hiện tại vẫn được mã hóa, cô lập và chưa có bằng chứng bị truy cập trái phép. Ở chiều ngược lại, ConnectWise kêu gọi khách hàng kiểm tra mọi môi trường M365 mà họ quản lý để tìm dấu hiệu xâm nhập. Vấn đề là nhiều tổ chức dùng dịch vụ MSP mà không hề biết nền tảng phía sau là gì. MSP không bắt buộc phải công khai họ dùng công cụ nào, nên doanh nghiệp có thể đang chịu rủi ro từ một nhà cung cấp mà mình chưa từng nghe tên. Sự cố này phơi bày khoảng trống trách nhiệm trong mô hình MSP: khi chuỗi cung ứng bị tấn công, ai sẽ chủ động bảo vệ người dùng cuối và thông báo kịp thời cho họ?
Bạn cần làm gì ngay bây giờ để bảo vệ Microsoft 365 và tài khoản công việc
Thay vì chờ thông báo từ nhà cung cấp, người dùng Microsoft 365 cần coi sự cố ConnectWise là lời cảnh tỉnh để hành động ngay. Trước hết, hãy rà soát toàn bộ ứng dụng được cấp quyền trong tenant M365 của bạn và kiểm tra kỹ thông tin xác thực (credentials) gắn với từng ứng dụng – việc tắt app không tự động xóa các credential đã được thêm trước đó. Bất kỳ ứng dụng nào có quyền quản trị cao, quyền đọc/ghi dữ liệu rộng mà bạn không dùng hoặc không rõ nguồn gốc đều nên bị thu hồi quyền. Tiếp theo, củng cố bảo mật tài khoản công việc: bật xác thực hai yếu tố M365 cho mọi tài khoản người dùng, đặc biệt là tài khoản quản trị; đồng thời thiết lập quy trình định kỳ kiểm tra nhật ký hoạt động để phát hiện truy cập bất thường. Cuối cùng, làm việc với MSP hoặc bộ phận IT nội bộ để xây dựng chính sách kiểm soát quyền ứng dụng và kết nối với dịch vụ bên thứ ba, nhất là các dịch vụ sao lưu và quản trị có khả năng truy cập dữ liệu hoặc thao tác quản trị trên hệ thống doanh nghiệp. Nếu không đưa các “tài khoản ứng dụng” này vào chiến lược bảo mật tổng thể, mọi nỗ lực bảo vệ người dùng sẽ luôn có một lỗ hổng nguy hiểm.
