ConnectWise 遭入侵，中国黑客借其云备份服务窃取数千家公司数据

AI领域评论0字数 705阅读2分21秒阅读模式

ConnectWise 云备份服务被攻破，中国黑客借 AI 代理大规模渗透数千家企业

IT 管理与远程接入厂商 ConnectWise 的云备份服务被攻破。微软安全研究人员称，此次入侵的核心是攻击者进入 ConnectWise 的云备份服务，窃取了用于建立 ConnectWise 与企业客户之间数据链接的应用凭证（application credentials）。

这些凭证正是客户所依赖的云备份服务所使用的凭证。凭证一旦到手，攻击者便可登录客户部署在微软云上的环境，如同获得授权用户，进而访问客户邮件与其他文件。

关键点在于：这不是单点漏洞利用，而是供应链级横向渗透——上游服务商的凭证同时打开了数千家下游企业的门。

微软称，攻击者使用 AI 代理快速攻入约 2250 家组织，尝试登录频率接近每分钟 3000 次。微软指出，这种速度留给防守方的"发现与响应时间极少"。

这轮高速攻击的实现方式，与 ARTEX 有关——一个开源 AI 框架，可与各类 AI 模型配合，用于对网络防御做压力测试。同一套 AI 软件此前已被用于针对韩国金融系统的一起入侵事件，而当地许多金融机构安全防护薄弱，且未启用多因素认证（MFA）。

凭证是第一现场：ConnectWise 客户应把"应用凭证"视为已泄露，优先梳理该凭证的签发范围、有效期与授权资源，而非只关注自家边界设备。
速率类告警比单次告警更关键：接近每分钟 3000 次的登录尝试属于典型的自动化攻击特征，建议对登录失败/成功速率、异常来源 IP、非常规时段登录设置基线与阈值告警。
AI 既是攻防工具也是放大器：攻击方已用现成开源框架实现规模化、无人值守的横向移动，防守方在自动化对抗上不能落后一个身位。
多因素认证不再是加分项：韩国金融业案例显示，缺少 MFA 的组织在同类攻击下几乎没有缓冲窗口。
关注服务恢复进展：截至周四，ConnectWise 称已暂停云备份系统访问，并正在着手恢复服务。客户需跟踪官方恢复公告与密钥轮换通知。