ConnectWise a coupé l’accès à son service Cloud Backup après qu’un attaquant a utilisé l’identité de cette application pour entrer dans des environnements Microsoft 365. Selon la société de sécurité Huntress, au moins 162 locataires ont subi des connexions non autorisées. L’affaire illustre un angle mort fréquent : les comptes de service des outils tiers, que l’authentification multifacteur ne protège pas.
Ce qui s’est passé entre le 13 et le 17 octobre
Le service visé, anciennement connu sous le nom de SkyKick Cloud Backup, sauvegarde des données Microsoft 365 pour le compte de prestataires informatiques infogérés et de services internes. Pour fonctionner, il dispose dans chaque locataire client d’une identité applicative, appelée « principal de service », à laquelle des permissions ont été accordées.
D’après la chronologie publiée par Huntress, des tentatives de connexion par pulvérisation de mots de passe ont visé quatre cabinets d’avocats les 13 et 14 octobre. Le 15 octobre, des principaux de service liés aux applications Cloud Management de ConnectWise se sont attribué des rôles d’annuaire, surtout celui d’administrateur Exchange, dans une cinquantaine de locataires surveillés. Dans un cas, une application Teams de la gamme s’est même octroyé le rôle d’administrateur global, puis a ajouté des secrets à d’autres applications, dont celle de Huntress.
Comme le rapporte BleepingComputer, ConnectWise a annoncé l’interruption du service le 17 octobre, sans date de rétablissement. L’éditeur affirme ne disposer à ce stade d’aucun indice de compromission des données sauvegardées de ses partenaires et indique que les archives existantes ne sont pas touchées.
Pourquoi l’authentification multifacteur n’a servi à rien
Le point central de l’incident tient au mode d’accès. L’attaquant ne s’est pas connecté en tant qu’utilisateur : il s’est authentifié directement comme l’application, avec un identifiant propre à celle-ci. Aucune personne ne se connectant, aucune double vérification n’était demandée.
Huntress explique que l’attaquant détenait un justificatif compromis de Cloud Backup, ce qui lui permettait d’obtenir des jetons pour l’interface Microsoft Graph depuis une adresse IP identifiée par les chercheurs. Microsoft, cité par BleepingComputer, qualifie l’épisode d’attaque active de la chaîne d’approvisionnement et estime que la permission permettant de lire et modifier l’annuaire a probablement été détournée.
Cette logique n’est pas propre à ConnectWise. Toute solution de sauvegarde, de supervision ou de sécurité branchée sur Microsoft 365 reçoit des droits étendus, et ces droits restent actifs même quand l’outil n’est plus utilisé. Un utilisateur de Reddit cité par BleepingComputer a ainsi reçu une alerte montrant un principal SkyKick inutilisé depuis des années s’attribuer un rôle d’administration.
L’ampleur reste inconnue
Le décompte progresse à mesure que les équipes examinent leurs journaux. Huntress indique avoir ensuite repéré près de 1 000 locataires Entra montrant une activité depuis l’adresse de l’attaquant, dont plus de 300 connexions réussies. Une vague distincte du 15 octobre a visé 16 locataires, surtout dans les domaines des politiques publiques, de la sécurité nationale, du commerce et des minerais critiques.
Plusieurs questions restent ouvertes : le nombre total de victimes, l’étendue éventuelle d’un vol de données et la manière dont l’attaquant a obtenu l’identifiant de l’éditeur. Huntress précise que, dans le seul locataire étudié en détail, aucun accès aux messages ou fichiers n’était visible, mais que les lectures d’annuaire ne laissent pas de trace et qu’un accès ne peut donc pas être exclu.
Ce que les administrateurs doivent vérifier
Les recommandations convergent entre l’éditeur, Microsoft et les chercheurs. Pour une organisation française ou africaine qui passe par un prestataire infogéré, la première étape consiste à lui demander s’il utilise ces outils.
- Désactiver, sans les supprimer, les applications ConnectWise ou SkyKick concernées jusqu’à ce que l’éditeur confirme la réinitialisation des identifiants, comme le conseille Huntress.
- Passer en revue les secrets et certificats ajoutés depuis le 13 octobre sur toutes les applications d’entreprise.
- Retirer tout rôle d’annuaire attribué à ces applications sans décision explicite, en particulier celui d’administrateur global.
- Examiner les connexions des principaux de service dans les journaux Entra et rechercher l’adresse de l’attaquant publiée par les chercheurs.
Selon la société Todyl, citée par BleepingComputer, désactiver une application empêche l’émission de nouveaux jetons, mais ceux déjà délivrés restent valides jusqu’à leur expiration. Révoquer les sessions des utilisateurs ne coupe pas non plus un accès fondé sur une application.
Questions fréquentes
Mon entreprise est-elle concernée si elle n’utilise pas ConnectWise ?
Pas directement par cet incident. Mais un prestataire peut avoir installé ces outils dans votre locataire Microsoft 365 : il faut vérifier la liste des applications d’entreprise présentes.
Les sauvegardes stockées chez ConnectWise ont-elles fuité ?
L’éditeur affirme ne pas avoir d’indice en ce sens à ce stade. L’enquête est toutefois en cours et l’étendue d’un éventuel vol de données n’est pas établie.
Pourquoi parle-t-on d’attaque de la chaîne d’approvisionnement ?
Parce que l’attaquant n’a pas visé chaque victime séparément : il a exploité un outil tiers déjà autorisé chez de nombreux clients, ce qui lui ouvrait plusieurs environnements à la fois.
Sources
- Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack — BleepingComputer, 2026-10-17
- Vendor credential enables unauthorized access — Huntress, 2026-10-16