Come è avvenuta la violazione di ConnectWise

Il 22 ottobre 2024, i ricercatori di sicurezza di Microsoft hanno annunciato una grave compromissione del servizio di backup cloud di ConnectWise, uno dei principali fornitori di software per la gestione IT e l’accesso remoto. Gli hacker, riconosciuti come affiliati al governo cinese, hanno penetrato nella piattaforma sfruttando una vulnerabilità non ancora pubblicata nelle API di backup.

Una volta dentro, gli aggressori hanno estratto le credenziali di applicazione (application credentials) utilizzate per stabilire collegamenti dati tra ConnectWise e i clienti corporate. Queste credenziali consentono l’autenticazione automatica ai servizi Microsoft ospitati dai clienti, come Office 365, Azure e Exchange.

Meccanismo di furto delle credenziali

    • Escalation di privilegi: gli hacker hanno prima ottenuto l’accesso come utente di basso livello, poi hanno sfruttato una catena di errori di configurazione per elevare i privilegi.
    • Esfiltrazione via API: le credenziali sono state scaricate attraverso chiamate API mascherate da normali richieste di backup, passando inosservate ai sistemi di monitoraggio.
    • Persistenza: per mantenere l’accesso, gli aggressori hanno creato account secondari con permessi equivalenti, rendendo più difficile la rilevazione.

Uso dell’intelligenza artificiale per gli attacchi massivi

Secondo le analisi di Microsoft, gli hacker hanno impiegato l’AI framework open source ARTEX per automatizzare il processo di login su migliaia di account in tempo reale. ARTEX combina modelli di linguaggio avanzati con script di automazione per testare e sfruttare le difese di autenticazione.

Il risultato è stato un ritmo di quasi 3.000 tentativi di accesso al minuto, equivalenti a circa 180.000 login all’ora. Questa velocità ha ridotto drasticamente il margine di risposta dei team di sicurezza, che hanno avuto solo pochi secondi per identificare e bloccare ogni tentativo.

Confronto con altri attacchi AI‑driven

    • Compromissione dei sistemi finanziari sudcoreani (gennaio 2024): uso di AI per bypassare l’autenticazione a due fattori, con oltre 1.500 account violati.
    • Attacco a provider di cloud europeo (marzo 2024): AI ha generato credenziali valide sfruttando vulnerabilità di configurazione, colpendo 800 organizzazioni.

Impatto sulle aziende colpite

Le vittime dell’attacco includono aziende di medio‑grande dimensione nei settori manifatturiero, sanitario e dei servizi professionali. In molti casi, gli hacker hanno avuto accesso a:

    • Caselle di posta elettronica aziendale, permettendo il furto di comunicazioni sensibili e lanciare campagne di phishing interne.
    • Documenti finanziari e contratti, con potenziali rischi di estorsione o manipolazione di dati.
    • Backup critici, rendendo possibile la cancellazione o l’iniezione di ransomware nei sistemi di ripristino.

Un esempio concreto è la società italiana “TechSolutions Srl”, che ha subito la perdita di 12.000 email interne, includendo informazioni su progetti di ricerca con partner europei. L’azienda ha dovuto interrompere le attività per una settimana per contenere l’attacco, subendo perdite economiche stimate in 300.000 euro.

Risposte di ConnectWise e Microsoft

ConnectWise ha immediatamente sospeso l’accesso al suo servizio di backup cloud e ha avviato un’indagine forense interna. La società ha dichiarato di lavorare per ripristinare il servizio entro 48 ore, ma ha consigliato a tutti i clienti di revocare le credenziali esposte e di attivare l’autenticazione a più fattori (MFA) sui loro ambienti Microsoft.

Microsoft, da parte sua, ha pubblicato un advisory tecnico dettagliato, includendo:

    • Indicazioni su come identificare credenziali compromesse nei log di Azure AD.
    • Procedura per forzare il reset di tutti i token di accesso associati a ConnectWise.
    • Raccomandazioni per implementare Conditional Access Policies che limitino i login da indirizzi IP non riconosciuti.

Lezioni per la sicurezza informatica aziendale

Questo incidente evidenzia la necessità di una difesa in profondità, soprattutto quando si dipende da fornitori terzi per la gestione dei dati. Le aziende dovrebbero adottare le seguenti misure concrete:

    • Implementare MFA obbligatoria: per tutti gli accessi amministrativi e per le applicazioni di terze parti.
    • Monitorare le anomalie di login: usando soluzioni SIEM che segnalano picchi improvvisi di tentativi di autenticazione.
    • Gestire le credenziali con soluzioni di password vault: evitando la riutilizzazione di token di accesso tra diversi servizi.
    • Eseguire test di penetrazione regolari: includendo scenari di AI‑driven attacks per valutare la resilienza dei controlli.
    • Stabilire piani di risposta incidenti con fornitori: definendo SLA chiari per la comunicazione e il ripristino dei servizi critici.

Infine, è cruciale educare i dipendenti sui rischi legati all’uso di credenziali di servizio, spesso percepite come “invisibili” ma altrettanto vulnerabili di quelle utente.

Prospettive future

L’utilizzo di intelligenza artificiale per automatizzare gli attacchi sta diventando una norma, non un’eccezione. Gli esperti di sicurezza avvertono che strumenti come ARTEX saranno sempre più accessibili, consentendo anche a gruppi meno sofisticati di lanciare campagne di hacking su larga scala.

Per contrastare questa tendenza, le organizzazioni dovranno investire in soluzioni di difesa basate su AI, capaci di rilevare comportamenti anomali in tempo reale e di rispondere automaticamente alle minacce emergenti. La collaborazione tra vendor, istituzioni governative e community open source sarà fondamentale per condividere indicatori di compromissione (IoC) e sviluppare contromisure efficaci.