Lỗ hổng sao lưu ConnectWise: vấn đề không chỉ của nhà cung cấp dịch vụ
Lỗ hổng sao lưu ConnectWise là sự cố bảo mật khi danh tính ứng dụng trong môi trường Cloud Backup bị truy cập trái phép, cho phép tin tặc dùng quyền của dịch vụ sao lưu để xâm nhập và thao tác trong các môi trường Microsoft 365 doanh nghiệp mà không cần đăng nhập bằng tài khoản người dùng thông thường. Đây không phải lỗi cấu hình nhỏ, mà là tấn công chuỗi cung ứng trực tiếp vào dịch vụ được nhiều nhà cung cấp dịch vụ CNTT (MSP) sử dụng để quản lý khách hàng. Khi ConnectWise phát hiện truy cập trái phép vào danh tính ứng dụng trong Cloud Backup, hãng buộc phải kích hoạt “service interruption” và tạm dừng Cloud Backup cùng các dịch vụ SaaS Security, Cloud Management tích hợp với nó. Việc tắt dịch vụ cho thấy mức độ nghiêm trọng: hệ sinh thái phụ thuộc vào ConnectWise bị ảnh hưởng, từ MSP đến doanh nghiệp cuối vốn có thể còn không biết mình đang dùng nền tảng này.
Microsoft 365 bị xâm nhập qua ứng dụng sao lưu: vì sao MFA không cứu được bạn
Điểm nguy hiểm của vụ Microsoft 365 bị xâm nhập lần này nằm ở chỗ kẻ tấn công không nhắm vào người dùng, mà nhắm vào ứng dụng. Theo hãng bảo mật Huntress, ít nhất 162 môi trường Microsoft 365 đã bị ảnh hưởng trong cuộc tấn công chuỗi cung ứng liên quan đến ConnectWise. Một thông tin có thể trích dẫn là: “A Microsoft 365 credential (API secret) belonging to ConnectWise Cloud Backup has been compromised, and Huntress has confirmed it is being used to gain unauthorized access to customers' M365 environments.” Thay vì ăn cắp mật khẩu nhân viên, tin tặc khai thác credential/API secret của ConnectWise Cloud Backup để hành động như ứng dụng hợp lệ trong tenant M365 của bạn. Khi ứng dụng đã được cấp quyền sâu để sao lưu dữ liệu, nó trở thành cánh cửa rộng mở. MFA gắn với tài khoản người dùng không chặn được hoạt động dựa trên danh tính ứng dụng, nên cảm giác “đã bật MFA là an toàn” ở nhiều doanh nghiệp tỏ ra sai lầm.
Doanh nghiệp nào đang bị ảnh hưởng và mức độ nghiêm trọng ra sao?
Không phải mọi khách hàng Microsoft 365 đều bị tấn công, nhưng bất kỳ đơn vị nào dùng dịch vụ sao lưu ConnectWise Cloud Backup (trước đây là SkyKick) đều nằm trong vùng rủi ro. Việc ConnectWise phải tạm ngừng Cloud Backup, cùng SaaS Security và Cloud Management tích hợp, cho thấy hãng chưa thể đảm bảo vận hành an toàn. Tính đến thời điểm bị ngắt, người dùng không thể sao lưu, truy cập hay khôi phục dữ liệu, dù ConnectWise khẳng định các bản lưu hiện tại vẫn được mã hóa, cô lập và chưa có bằng chứng bị truy cập trái phép. Vấn đề nằm ở môi trường M365 đang hoạt động: Huntress đã quan sát trường hợp ứng dụng ConnectWise Cloud Management – MS Teams tự gán quyền Global Administrator và thêm credential mới cho các ứng dụng khác trong tenant. Đây là hành vi cho thấy kẻ tấn công không chỉ “ghé thăm”, mà tìm cách bám trụ lâu dài trong hệ thống.
Nhân viên văn phòng cần làm gì ngay để bảo vệ tài khoản M365?
Dù bạn không phải quản trị viên, tài khoản M365 của bạn vẫn là mục tiêu đáng giá. Trong bối cảnh lỗ hổng sao lưu ConnectWise, nhân viên văn phòng nên coi mọi email, yêu cầu chia sẻ file, thông báo Teams lạ là đáng nghi. Hãy kiểm tra lại hoạt động gần đây trong Outlook, OneDrive, SharePoint xem có đăng nhập bất thường, file bị chia sẻ ra ngoài hoặc thư gửi đi mà bạn không thực hiện. Nếu nghi ngờ, báo ngay cho bộ phận IT thay vì tự xoá dấu vết. Đồng thời, giữ thói quen bảo vệ tài khoản M365: bật MFA, không dùng lại mật khẩu, tránh cấp quyền ứng dụng bên thứ ba khi không hiểu rõ mục đích. Dù MFA không chặn được mọi tấn công dựa trên ứng dụng, nó vẫn là lớp phòng thủ quan trọng nếu kẻ tấn công quay lại bằng cách chiếm tài khoản người dùng qua phishing.
Việc phải làm ngay cho đội ngũ IT: kiểm tra ứng dụng, quyền và dấu hiệu xâm nhập
Đối với quản trị viên, đây là lúc phải hành động thay vì chờ thông báo tiếp theo. Trước hết, rà soát toàn bộ ứng dụng đã đăng ký trong Azure AD/Microsoft Entra, đặc biệt là các ứng dụng liên quan ConnectWise Cloud Backup và Cloud Management. Huntress cảnh báo rằng việc vô hiệu hóa ứng dụng M365, kể cả ứng dụng ConnectWise bị lạm dụng, sẽ không tự xoá credential đã được thêm trước đó; bạn phải trực tiếp kiểm tra và dọn dẹp credential trên tất cả ứng dụng M365. Song song, tìm dấu hiệu xâm nhập: tài khoản được gán thêm quyền Global Administrator bất thường, ứng dụng mới xuất hiện, kết nối đến IP đáng ngờ theo chỉ báo mà ConnectWise công bố. Cuối cùng, xem lại chiến lược bảo vệ tài khoản M365: không cấp quyền quản trị rộng cho ứng dụng sao lưu, áp dụng nguyên tắc tối thiểu quyền và kiểm soát chặt mọi kết nối với dịch vụ bên thứ ba.
