Tại sao lỗ hổng Microsoft 365 này lại bắt nguồn từ dịch vụ sao lưu?
Sự cố bảo mật này không phải là một cuộc tấn công trực tiếp vào tài khoản người dùng mà là một cuộc tấn công chuỗi cung ứng nhắm vào dịch vụ ConnectWise Cloud Backup. Thay vì phải phá vỡ các lớp phòng thủ của từng doanh nghiệp riêng lẻ, tin tặc đã tìm cách lợi dụng các quyền hạn đặc biệt mà dịch vụ sao lưu này được cấp trong môi trường Microsoft 365 của khách hàng.
Để thực hiện chức năng sao lưu dữ liệu một cách tự động và hiệu quả, các ứng dụng như ConnectWise Cloud Backup bắt buộc phải được cấp những quyền truy cập nhất định vào hệ thống. Chính những quyền hạn này, vốn được thiết kế để phục vụ mục đích quản trị và sao lưu, đã trở thành 'chìa khóa vạn năng' cho những kẻ tấn công khi chúng chiếm được quyền kiểm soát danh tính ứng dụng.
Cơ chế lợi dụng quyền hạn ứng dụng
Thông thường, các doanh nghiệp tin tưởng vào các nhà cung cấp dịch vụ sao lưu và cấp cho họ các quyền truy cập sâu vào dữ liệu để đảm bảo quá trình sao lưu diễn ra liên tục. Tuy nhiên, trong vụ việc này, tin tặc đã không cần đến tên đăng nhập hay mật khẩu của người dùng cuối. Chúng khai thác trực tiếp danh tính ứng dụng (application identity) đã được xác thực sẵn trong hệ thống Microsoft 365.
Điều này có nghĩa là khi ứng dụng được cấp quyền, nó có một 'luồng' truy cập riêng biệt. Tin tặc đã lợi dụng luồng này để vượt qua các rào cản bảo mật thông thường, cho phép chúng hoạt động bên trong môi trường doanh nghiệp mà không để lại dấu vết đăng nhập truyền thống.
Mức độ ảnh hưởng của cuộc tấn công đối với các doanh nghiệp là gì?
Ít nhất 162 môi trường Microsoft 365 đã được xác nhận là bị ảnh hưởng bởi cuộc tấn công liên quan đến ConnectWise. Theo dữ liệu từ hãng bảo mật Huntress, quy mô của vụ việc cho thấy các dịch vụ hỗ trợ sao lưu đang trở thành mục tiêu béo bở cho các nhóm tội phạm mạng nhờ khả năng tiếp cận dữ liệu tập trung.
Mặc dù các báo cáo ban đầu cho thấy chưa có bằng chứng xác thực về việc dữ liệu sao lưu được lưu trữ trực tiếp trên dịch vụ bị xâm phạm bị đánh cắp, nhưng mức độ rủi ro vẫn ở mức cực kỳ cao. Việc các môi trường Microsoft 365 bị xâm nhập đồng nghĩa với việc tin tặc có thể đã tiếp cận được các email, tài liệu lưu trữ trên OneDrive, SharePoint và các thông tin nhạy cảm khác của doanh nghiệp.
Phản ứng từ phía ConnectWise và tình trạng hiện tại
Ngay sau khi phát hiện sự cố, ConnectWise đã thực hiện các biện pháp khẩn cấp bằng cách tạm ngừng hoạt động của dịch vụ Cloud Backup. Hành động này nhằm mục đích cô lập sự cố và ngăn chặn các cuộc tấn công tiếp diễn trong khi quá trình điều tra chuyên sâu đang được tiến hành. Việc tạm dừng dịch vụ gây ra sự gián đoạn nhất định cho khách hàng, nhưng đây được xem là bước đi cần thiết để bảo vệ tính toàn vẹn của các môi trường còn lại.
Tại sao xác thực đa yếu tố (MFA) không ngăn chặn được vụ tấn công này?
Một trong những hiểu lầm phổ biến nhất trong bảo mật là việc triển khai xác thực đa yếu tố (MFA) sẽ bảo vệ hoàn toàn hệ thống. Tuy nhiên, vụ việc ConnectWise đã chứng minh rằng MFA chỉ có tác dụng đối với các phương thức đăng nhập dựa trên người dùng (user-based login), trong khi các cuộc tấn công dựa trên quyền ứng dụng (app-based permissions) có thể bỏ qua hoàn toàn lớp bảo vệ này.
Khi tin tặc sử dụng danh tính của ứng dụng đã được cấp quyền, chúng đang thực hiện các lệnh thông qua một kết nối đã được thiết lập sẵn và được tin cậy bởi hệ thống. Vì không có sự tham gia của con người trong quá trình thực hiện các lệnh này, hệ thống không yêu cầu xác minh thêm qua mã OTP hay ứng dụng xác thực, khiến MFA trở nên vô hiệu trước loại hình tấn công này.
Nguy cơ tự cấp quyền quản trị cao nhất
Nghiêm trọng hơn, Huntress đã ghi nhận các trường hợp tin tặc sử dụng các ứng dụng bị chiếm quyền để thực hiện hành vi tự cấp thêm các quyền quản trị cấp cao (high-level admin privileges) trong môi trường Microsoft 365. Điều này tạo ra một vòng lặp nguy hiểm: sau khi xâm nhập qua một ứng dụng có quyền hạn thấp, tin tặc sẽ nâng cấp quyền lợi của mình để có thể kiểm soát toàn bộ hệ thống, duy trì sự hiện diện lâu dài và thực hiện các thao tác đặc quyền mà không bị phát hiện.
Các doanh nghiệp cần làm gì để giảm thiểu rủi ro từ ứng dụng bên thứ ba?
Để bảo vệ hệ thống trước các cuộc tấn công chuỗi cung ứng tương tự, doanh nghiệp cần thay đổi tư duy từ việc chỉ bảo vệ người dùng sang việc quản lý chặt chẽ các kết nối ứng dụng. Việc kiểm soát phạm vi quyền truy cập (scope of permissions) mà các ứng dụng bên thứ ba được cấp là yếu tố sống còn.
Các tổ chức nên áp dụng nguyên tắc đặc quyền tối thiểu (Principle of Least Privilege - PoLP). Thay vì cấp quyền quản trị toàn diện cho một dịch vụ sao lưu, hãy chỉ cấp đúng những quyền cần thiết nhất để dịch vụ đó có thể hoàn thành nhiệm vụ của mình. Ví dụ, nếu một ứng dụng chỉ cần đọc dữ liệu để sao lưu, nó không nên được cấp quyền xóa dữ liệu hoặc thay đổi cấu hình hệ thống.
Danh sách kiểm tra bảo mật cho quản trị viên hệ thống
Dưới đây là các bước hành động cụ thể mà các quản trị viên IT cần thực hiện ngay lập tức để tăng cường khả năng phòng thủ:
- Rà soát quyền ứng dụng: Kiểm tra định kỳ tất cả các ứng dụng và dịch vụ bên thứ ba đang có kết nối với Microsoft 365. Loại bỏ ngay lập tức các ứng dụng không còn sử dụng hoặc có quyền hạn vượt quá mức cần thiết.
- Giám sát hoạt động của ứng dụng: Không chỉ giám sát đăng nhập của người dùng, mà còn phải theo dõi các hoạt động API và các thay đổi cấu hình do ứng dụng thực hiện.
- Kiểm tra tính toàn vẹn của quyền quản trị: Thường xuyên kiểm tra danh sách các tài khoản và ứng dụng có quyền Global Admin để đảm bảo không có sự cấp quyền bất thường nào đã xảy ra.
- Đánh giá nhà cung cấp: Trước khi tích hợp bất kỳ dịch vụ bên thứ ba nào vào hệ thống lõi, cần thực hiện quy trình đánh giá an ninh nghiêm ngặt đối với nhà cung cấp đó.
FAQ: Các câu hỏi thường gặp về lỗ hổng Microsoft 365 và ConnectWise
Cuộc tấn công này ảnh hưởng đến ai?
Cuộc tấn công ảnh hưởng trực tiếp đến ít nhất 162 môi trường Microsoft 365 của các khách hàng sử dụng dịch vụ ConnectWise Cloud Backup. Các doanh nghiệp sử dụng dịch vụ này để sao lưu dữ liệu trên nền tảng Microsoft 365 là những đối tượng có nguy cơ bị xâm nhập cao nhất.
Tin tặc đã lấy dữ liệu như thế nào?
Tin tặc không sử dụng tài khoản cá nhân để đăng nhập. Thay vào đó, chúng khai thác danh tính ứng dụng của dịch vụ ConnectWise Cloud Backup. Bằng cách lợi dụng các quyền hạn đã được cấp sẵn cho ứng dụng này, chúng có thể truy cập vào môi trường Microsoft 365 mà không cần qua bước xác thực người dùng.
MFA có bảo vệ được tôi khỏi vụ tấn công này không?
MFA không thể ngăn chặn trực tiếp loại tấn công này. MFA bảo vệ các tài khoản người dùng khi họ đăng nhập, nhưng trong trường hợp này, tin tặc sử dụng quyền của ứng dụng (app permissions). Các kết nối ứng dụng thường không yêu cầu MFA, do đó chúng có thể vượt qua lớp bảo vệ này một cách dễ dàng.
Dữ liệu sao lưu có bị đánh cắp không?
Theo các thông tin hiện có, chưa có bằng chứng cụ thể nào cho thấy dữ liệu lưu trữ trực tiếp trên dịch vụ sao lưu đã bị xâm phạm. Tuy nhiên, do các môi trường Microsoft 365 bị xâm nhập, các dữ liệu liên quan như email và tài liệu trực tuyến vẫn đang đối mặt với rủi ro bị truy cập trái phép.
Tôi nên làm gì nếu nghi ngờ hệ thống bị xâm nhập?
Bạn nên ngay lập tức rà soát lại toàn bộ các quyền truy cập của ứng dụng trong Microsoft 365, kiểm tra các tài khoản quản trị mới được tạo và liên hệ với các chuyên gia bảo mật để thực hiện điều tra dấu vết kỹ thuật số (forensics) nhằm xác định phạm vi ảnh hưởng.
Key takeaways
- Ít nhất 162 môi trường Microsoft 365 đã bị xâm nhập thông qua dịch vụ ConnectWise Cloud Backup.
- Tin tặc khai thác danh tính ứng dụng thay vì tài khoản người dùng để vượt qua các rào cản bảo mật.
- Xác thực đa yếu tố (MFA) không có tác dụng ngăn chặn các cuộc tấn công dựa trên quyền của ứng dụng.
- Nguy cơ tin tặc tự cấp quyền quản trị cao nhất để duy trì sự hiện diện lâu dài trong hệ thống.
- Nguyên tắc đặc quyền tối thiểu là biện pháp then chốt để giảm thiểu rủi ro từ ứng dụng bên thứ ba.
Kết luận
Vụ việc xâm nhập hệ thống Microsoft 365 thông qua ConnectWise là một lời cảnh tỉnh mạnh mẽ về sự mong manh của chuỗi cung ứng kỹ thuật số. Khi các doanh nghiệp ngày càng phụ thuộc vào các dịch vụ đám mây và ứng dụng bên thứ ba, rủi ro không còn chỉ nằm ở các lỗ hổng phần mềm mà còn nằm ở cách quản lý quyền hạn và sự tin tưởng dành cho các đối tác. Để xây dựng một hệ thống phòng thủ vững chắc, các tổ chức cần chuyển dịch trọng tâm từ bảo vệ danh tính người dùng sang quản lý toàn diện các kết nối và quyền hạn của ứng dụng trong toàn bộ hệ sinh thái công nghệ.
