Grote storing bij Rackspace Hosted Exchange: wat u nu moet weten en doen.

6 december 2022 | Adviserend, Blog

Hosted Exchange-beveiligingsincident december 2022

Update 12-7-2022: Rackspace erkent nu dat ze het slachtoffer zijn geworden van een ransomware-aanval. Op dinsdag 6 december bevestigen ze de volgende feiten over het incident:

De aanval beperkte zich tot hun Hosted Exchange-platform.
Ze schakelden onmiddellijk een ‘toonaangevend cyberverdedigingsbedrijf’ in.
Ze hebben uit "overvloedige voorzichtigheid" extra veiligheidsmaatregelen genomen.
Ze blijven klanten helpen bij de migratie naar een nieuwe omgeving (buiten Hosted Exchange).

Samenvatting : Het rampenherstelplan (DRP) van Rackspace lijkt te hebben gefaald. Of ze willen stoppen met de Hosted Exchange-diensten (voor $30 miljoen vorig jaar) en hun gebruikers overzetten naar Microsoft 365-omgevingen. CyberHoot adviseert migratie naar M365, maar niet per se via Rackspace.

Publicatiedatum: 12/6/2022

CyberHoot volgt sinds de ochtend van 2 december een beveiligingsincident bij Rackspace dat heeft geleid tot wijdverspreide e-mailstoringen voor hun gehoste Exchange-klanten. Tot op dit moment, vier dagen na het incident, heeft Rackspace in hun Incident Response Blog nog geen informatie vrijgegeven over de omvang, de oorzaak of een concrete planning voor het herstel van de gehoste Exchange-diensten. In plaats daarvan hebben ze alle klanten aangeraden om over te stappen van hun gehoste Exchange-platforms naar Microsoft O365.

Impact:

Alle e-mailverkeer via Rackspace-hosted Exchange is offline gehaald terwijl Rackspace het probleem probeert op te lossen. MSP's hebben noodgedwongen tijdelijke oplossingen moeten bedenken, zoals het doorsturen van alle inkomende e-mail naar een andere e-mailprovider of het opnieuw configureren van servers onder Rackspace IMAP-services in een aparte enclave binnen hun hostingomgeving. Andere MSP's migreren zelfs volledig van gehoste Exchange naar Microsoft O365 met Rackspace of andere providers zoals Sherweb's O365 Services.

Hoe zijn we hier?

Er wordt volop gespeculeerd over wat er is gebeurd, maar CyberHoot zal hier geen speculatieve uitspraken doen. Wat we wel doen, is de feiten van de situatie rapporteren. Zodra we definitief weten wat er is gebeurd, zullen we dit gedeelte van dit artikel bijwerken.

Wat moet je doen?

Inmiddels hebt u doorstuurregels ingesteld voor uw getroffen klanten. Dat is een begin. Anders kunt u overwegen om volledig over te stappen naar Microsoft O365 of Google Workspace. In alle gevallen moet u ervoor zorgen dat u, ongeacht waar uw e-mailservices uiteindelijk worden gehost, tweefactorauthenticatie (2FA) inschakelt voor de accounts om te voorkomen dat Business Email Compromise (BEC) uw bedrijf of uw klanten treft.

U zou ook een migratie van gehoste Exchange-services van alle providers moeten plannen. Volgens meerdere bronnen is O365 de veiligere, meest complete en consistente omgeving voor eindgebruikers. Uit een onderzoek van CyberHoot op verschillende reviewwebsites bleek consistent dat "Office 365 als geheel een veiligere en betrouwbaardere oplossing is dan gehoste Exchange" ( bron ). Hoewel de huidige storing bij Rackspace een incident op zich is, werpt het wel een schaduw over de beveiliging van aanbieders van gehoste Exchange. CyberHoot raadt u aan om zo snel mogelijk een migratie van gehoste Exchange-services naar O365 of een vergelijkbare oplossing ( Google Workspace ) te overwegen, of direct naar O365 te migreren als u getroffen bent door het Rackspace-incident.