Hacker cinesi spiano 2.250 aziende dopo la violazione di ConnectWise
Secondo i ricercatori di Microsoft, un gruppo di hacker allineato allo Stato cinese ha violato il servizio di backup in cloud di ConnectWise e ha usato agenti di intelligenza artificiale per entrare nei sistemi di circa 2.250 organizzazioni. La velocità dell'attacco ha raggiunto quasi 3.000 tentativi di accesso al minuto.
- Microsoft attribuisce a hacker legati alla Cina la violazione del backup cloud di ConnectWise.
- Rubate le credenziali applicative usate per collegarsi agli ambienti dei clienti: colpite circa 2.250 organizzazioni.
- Gli agenti IA, basati sul framework open source ARTEX, hanno sostenuto quasi 3.000 tentativi di accesso al minuto.
Come è avvenuta l'intrusione
ConnectWise è un'azienda statunitense che fornisce software per la gestione dei sistemi informatici e l'accesso remoto: strumenti usati soprattutto dai fornitori di servizi IT che amministrano i computer di altre aziende. Tra i suoi servizi c'è un backup in cloud, cioè la copia di sicurezza dei dati aziendali conservata sui server del fornitore.
Secondo Microsoft, gli attaccanti sono entrati proprio in quel servizio e hanno sottratto le credenziali applicative, ossia le chiavi digitali che permettono al software di ConnectWise di collegarsi agli ambienti informatici dei clienti. Con quelle chiavi in mano, gli intrusi potevano presentarsi ai sistemi dei clienti ospitati su Microsoft come se fossero utenti autorizzati, leggendo email e altri file.
ConnectWise ha sospeso l'accesso al sistema di backup in cloud e ha avviato un'indagine. Giovedì l'azienda ha dichiarato di essere al lavoro per ripristinare il servizio.
Il ruolo degli agenti IA
La parte nuova riguarda gli strumenti usati. Microsoft attribuisce la rapidità dell'operazione all'impiego di agenti di intelligenza artificiale, cioè programmi basati su modelli IA capaci di eseguire sequenze di azioni in autonomia, senza che una persona debba digitare ogni comando.
Nello specifico viene citato ARTEX, un framework open source pensato per mettere sotto stress le difese informatiche e verificarne la tenuta, qui riutilizzato a fini offensivi. Lo stesso software, sempre secondo Microsoft, era già comparso in una recente compromissione di sistemi finanziari sudcoreani, molti dei quali avevano protezioni deboli e non usavano l'autenticazione a più fattori, cioè la verifica dell'identità con un secondo codice oltre alla password.
Perché conta
Il punto sottolineato da Microsoft è il tempo: a quasi 3.000 tentativi di accesso al minuto, chi difende un'azienda ha pochissimo margine per accorgersi dell'attacco e reagire. L'automazione sposta l'equilibrio a favore di chi attacca.
Conta anche la catena di fornitura: violando un singolo fornitore di servizi IT si raggiungono in un colpo solo migliaia di aziende clienti, che spesso non hanno modo di accorgersi di nulla. È uno schema che riguarda da vicino anche il tessuto italiano di piccole e medie imprese, che quasi sempre affida gestione dei sistemi e backup a fornitori esterni. Le misure di base, come l'autenticazione a più fattori, restano il primo ostacolo a questo tipo di accessi di massa.
