L'application ConnectWise Cloud Backup détournée pour pirater des tenants M365

Des attaquants ont détourné l'identité d'application Microsoft 365 de ConnectWise Cloud Backup, anciennement SkyKick Cloud Backup, pour se connecter à des tenants de clients à partir du 15 octobre 2026. Un tenant est l'environnement Microsoft 365 propre à une organisation. La société de sécurité Huntress a confirmé des connexions non autorisées dans au moins 162 d'entre eux. L'attaquant s'est connecté en tant qu'application de confiance et non en tant que personne. L'authentification multifacteur (MFA) n'est donc jamais entrée en jeu.

Microsoft a parlé d'une attaque active de la chaîne d'approvisionnement, rapporte BleepingComputer. Dans une attaque de la chaîne d'approvisionnement, les intrus entrent par un fournisseur auquel leurs cibles font confiance. ConnectWise vend surtout ses outils à des fournisseurs de services gérés (MSP), des entreprises qui gèrent l'informatique de nombreuses petites entreprises.

Comment l'attaque a fonctionné

Les applications de sauvegarde ont besoin d'un accès étendu. Les clients leur accordent donc de larges autorisations dans Microsoft Entra ID, le service d'identité de Microsoft. L'application dispose alors de sa propre identité, appelée principal de service, qui peut se connecter sans intervention humaine.

L'attaquant a utilisé l'identifiant propre de l'application de sauvegarde pour demander des jetons d'accès. Il a ensuite appelé l'API Graph de Microsoft avec les autorisations que les clients avaient déjà accordées. Les chercheurs décrivent cet identifiant différemment. Huntress parle d'une assertion de client (client assertion), tandis que Todyl, une autre société de sécurité, affirme qu'un secret client (client secret) a été utilisé.

Certaines applications Cloud Management de ConnectWise se sont ensuite attribué des rôles d'administrateur, « surtout Exchange Administrator », a constaté Huntress. Dans un tenant, l'application Teams Cloud Management s'est elle-même nommée Global Administrator. Elle a aussi ajouté des identifiants à deux autres applications, dont celle de Huntress.

Chronologie

Date (2026, UTC)	Ce qui s'est passé
13-14 octobre	Une pulvérisation de mots de passe a visé quatre tenants de cabinets d'avocats, selon Huntress
14 octobre	ConnectWise dit avoir identifié le problème
15 octobre, dès 01 h 58	Début des connexions malveillantes et des changements de rôles, selon Huntress
16 octobre, 17 h 47	ConnectWise a publié son premier avis
16 octobre, 19 h 00	Huntress a confirmé des connexions dans 162 tenants
17 octobre	ConnectWise a désactivé sept identités d'application et suspendu Cloud Backup
18 octobre, 01 h 00	Cloud Backup toujours suspendu, sans heure de rétablissement annoncée

Le décompte n'a cessé de grimper. Dans une mise à jour du 17 octobre, Huntress a indiqué que près de 1 000 tenants Entra avaient vu des tentatives de connexion depuis l'adresse IP de l'attaquant. Plus de 300 de ces tentatives avaient abouti. Personne n'a identifié l'attaquant. Huntress a relié l'activité à une adresse d'hébergeur, 144.172.64[.]128.

Quelles données étaient menacées

Les autorisations accordées par les clients permettaient à l'application de sauvegarde de lire et d'écrire les e-mails, les fichiers OneDrive et SharePoint, et les conversations Teams, selon Todyl. Dans les neuf tenants que Todyl a examinés, l'entreprise n'a trouvé que des connexions, sans preuve de vol de données. Huntress n'a pas non plus confirmé d'accès aux e-mails ou aux fichiers. Elle prévient que la lecture de l'annuaire ne laisse aucune trace dans les journaux d'audit.

« À ce jour, nous n'avons aucun indice que les données de sauvegarde des partenaires de Cloud Backup aient été compromises », a déclaré ConnectWise dans son avis. L'entreprise a aussi mis hors ligne ses services SaaS Security et Cloud Management par précaution.

Ce que cela signifie pour les développeurs

• Désactivez les applications ConnectWise, ne les supprimez pas. Huntress conseille de désactiver les applications d'entreprise concernées dans chaque tenant. La suppression retire le consentement et complique l'enquête ultérieure. Les tenants plus anciens peuvent les afficher sous le nom « SkyKick Cloud Manager ».
• Rappelez-vous que les jetons survivent à la désactivation. Les jetons déjà émis restent valides jusqu'à leur expiration, soit jusqu'à 90 minutes, selon Todyl. Révoquer les sessions des utilisateurs ne met pas fin à l'accès d'une application.
• Traquez les nouveaux identifiants et les nouveaux rôles. Passez en revue les secrets client et les certificats ajoutés depuis le 13 octobre. Cherchez dans les journaux d'audit Entra les applications qui se sont ajoutées à des rôles. Retirez tout droit Global Administrator inattendu.
• Ne réactivez pas les sauvegardes trop tôt. « Ne réactivez pas les applications ConnectWise concernées tant que ConnectWise n'a pas confirmé que tous les identifiants ont été réinitialisés », dit Huntress. La désactivation met les sauvegardes en pause, mais ne supprime pas les copies que ConnectWise détient déjà.
• Auditez chaque application dotée d'un large consentement. Cette attaque n'a nécessité aucun mot de passe volé et a franchi la MFA. Toute application tierce qui a des autorisations sur les e-mails ou les fichiers de tout le tenant est le même genre de porte. Dressez la liste de ces applications, retirez les autorisations dont elles n'ont pas besoin et limitez qui peut les gérer.