ConnectWise, een leverancier van cloudback-ups voor bedrijven, is doelwit geworden van een grootschalige inbraak. Hierbij hebben aanvallers toegang gekregen tot inloggegevens die gebruikt worden om koppelingen tussen ConnectWise en de systemen van klanten te maken. Daardoor konden de hackers zich voordoen als geautoriseerde gebruikers en e-mails en bestanden van die bedrijven inzien.

Wat is er precies gebeurd?

Volgens onderzoekers van Microsoft braken hackers, die in verband worden gebracht met de Chinese staat, in bij de cloudbackupdienst van ConnectWise. Zij haalden daar applicatie-inloggegevens weg die ConnectWise gebruikt om verbinding te maken met de Microsoft-omgevingen van zijn klanten.

Met die gestolen gegevens konden de aanvallers inloggen in de Microsoft-omgeving van een klant alsof het een legitieme gebruiker was. Zo kregen ze toegang tot e-mailboxen en andere opgeslagen bestanden.

ConnectWise heeft de toegang tot zijn cloudbackupdienst tijdelijk stopgezet en onderzoekt de inbraak. Het bedrijf werkt aan het herstellen van de dienst.

Hoe konden de hackers zo snel zoveel bedrijven raken?

Microsoft meldt dat de aanvallers gebruikmaakten van AI-agents om massaal in te loggen. Die agents voerden in korte tijd heel veel inlogpogingen uit: ongeveer 3.000 pogingen per minuut. Daardoor konden ze in korte tijd duizenden organisaties aanvallen, zo’n 2.250 volgens Microsoft.

De snelheid waarmee dit gebeurde maakte het voor verdedigers moeilijk om op tijd te reageren, zegt Microsoft.

De gebruikte AI-software heet ARTEX, een open-source (met vrij toegankelijke broncode) AI-framework dat samenwerkt met AI-modellen om kwetsbaarheden en verdedigingssystemen te testen. Dezezelfde software werd eerder al genoemd bij een aanval op financiële instellingen in Zuid-Korea.

Bij die Zuid-Koreaanse incidenten speelden zwakke beveiliging en het ontbreken van meerfactorauthenticatie (bijvoorbeeld naast een wachtwoord nog een sms- of app-code) een rol bij het slagen van de aanvallen.

Wat zegt dit over moderne cyberaanvallen?

Dit incident laat zien dat aanvallen steeds sneller en geautomatiseerder verlopen. AI-technieken kunnen routinewerk overnemen en in korte tijd grote aantallen accounts en systemen proberen te benaderen.

Dat geeft verdedigers weinig tijd om verdacht verkeer te detecteren en af te stoppen. Daarnaast zijn aanvallen op de leveranciersketen gevaarlijk: wanneer een bedrijf dat veel andere organisaties bedient wordt geraakt, kunnen de gevolgen zich snel verspreiden naar de klanten van dat bedrijf.

Conclusie

De beveiligingslekken bij ConnectWise tonen hoe kwetsbaar veel organisaties kunnen zijn als een dienstverlener wordt gehackt. Microsoft spreekt van een snelle, grootschalige campagne waarbij AI-agents werden ingezet, en ConnectWise heeft tijdelijk de toegang tot zijn cloudbackups gepauzeerd terwijl het onderzoek loopt.

Het voorval onderstreept dat aanvallen niet langer alleen handwerk zijn, maar steeds vaker deels geautomatiseerd en met grote snelheid plaatsvinden. Organisaties die gebruikmaken van externe diensten moeten zich hiervan bewust zijn, omdat een enkel lek bij een leverancier verstrekkende gevolgen kan hebben.