Des attaquants ont utilisé l'identité applicative de ConnectWise Cloud Backup pour entrer dans des tenants Microsoft 365

ConnectWise a coupé son service Cloud Backup le 17 octobre 2026 après qu'un attaquant a utilisé l'identité applicative du produit pour se connecter aux tenants Microsoft 365 de clients et obtenir des jetons Microsoft Graph. Aucun mot de passe d'utilisateur n'a été employé, et aucune demande d'authentification multifacteur n'est apparue. Huntress a signalé l'activité en premier ; SpecterOps et BleepingComputer en ont publié des récits le 17 octobre.

À lire aussi: Des attaquants ont poussé une porte dérobée via les propres serveurs de mise à jour d'AOMEI Backupper · HEIF Heist de Hacktron : une bibliothèque d'images non corrigée a ouvert la porte au monorepo d'OpenAI.

Les connexions se sont déroulées de 06:13 à 08:34 UTC le 15 octobre, toutes depuis 144.172.64.128, une adresse hébergée chez un fournisseur. Elles passaient d'un tenant à l'autre à quelques secondes d'intervalle, un schéma que SpecterOps juge compatible avec un script travaillant sur une liste de cibles. Les 13 et 14 octobre, la même adresse avait tenté des connexions scriptées avec des identifiants d'application client appartenant à d'autres outils, sous l'agent utilisateur curl/7.88.1. Huntress et BleepingComputer ont tous deux relevé ces tentatives antérieures. L'identité de Cloud Backup n'était pas la première essayée. Deux jours d'essais contre d'autres applications font ressembler la fenêtre réussie à la fin d'une recherche plutôt qu'à un coup de chance.

Huntress a confirmé des connexions non autorisées dans au moins 162 tenants au moment de la publication de BleepingComputer. SpecterOps retient le même chiffre. Une compilation hebdomadaire ultérieure a avancé 173, ce qui suggère que le compte montait encore à la sortie des premiers articles. Prenez l'un ou l'autre comme un plancher.

L'application a fait le travail d'un mot de passe

Un principal de service est le moyen pour un logiciel de se connecter à Microsoft Entra ID. Un administrateur lui accorde des permissions une fois, et ensuite il présente un secret ou un certificat. Il n'y a personne au clavier à interroger, donc l'authentification multifacteur n'a rien sur quoi agir. Ce n'est pas un défaut de l'authentification multifacteur. C'est un autre chemin d'authentification, et c'est celui qui a servi ici.

Cloud Backup détient une de ces identités dans chaque tenant client, avec des droits assez larges pour faire son travail : lire les boîtes aux lettres, les fichiers OneDrive et SharePoint et les conversations Teams, puis les copier ailleurs. Todyl, dont BleepingComputer cite l'analyse, indique que l'application pré-autorisée pouvait lire et écrire les courriels et leurs pièces jointes, les fichiers et les messages de discussion. Un jeton volé héritait de tout cela.

Le côté client de cet arrangement tient à un écran de consentement. Un administrateur approuve l'application une fois, et l'identifiant qui prouve l'identité de l'application reste chez l'éditeur. Le tenant obtient un service de sauvegarde opérationnel et renonce au contrôle direct de la clé.

Les permissions étaient larges par conception. La part de cette portée que l'attaquant a réellement utilisée est une autre question. Microsoft a confirmé les tentatives d'authentification malveillantes depuis cette adresse le 15 octobre et a décrit l'incident comme une attaque active de la chaîne d'approvisionnement. Son équipe de renseignement sur les menaces estime que l'attaquant a probablement abusé de permissions existantes, dont Directory.ReadWrite.All, et a observé de la reconnaissance via l'API Graph et des tentatives d'ajout d'identifiants.

Ce que Huntress a trouvé dans les tenants

Huntress a regardé au-delà des journaux de connexion. Le cabinet rapporte que des principaux de service ConnectWise Cloud Management couvrant Exchange Online, Teams et Microsoft Graph se sont attribué des rôles d'annuaire dans près de 50 des tenants qu'il surveille. La plupart de ces rôles étaient Administrateur Exchange.

Dans un tenant, l'attaquant a atteint la persistance en cinq minutes environ. L'application Cloud Management – MS Teams s'est octroyé le rôle Administrateur général, puis a ajouté des identifiants à un outil de gestion MSP et à l'application de Huntress elle-même. Ajouter un identifiant à une application existante donne à un intrus un chemin de retour qui survit à une réinitialisation de mot de passe, à une révocation de session ou à l'expiration du jeton qui a ouvert la porte.

L'échantillon de Todyl est différent. Le cabinet a examiné neuf intrusions et n'a trouvé qu'une activité de connexion, sans preuve que l'acteur ait créé des comptes, changé des mots de passe, ajouté des permissions ou établi une persistance via l'application de sauvegarde dans ces neuf cas. Les deux récits peuvent tenir. La gravité variait selon le tenant, et ce que l'intrus a fait une fois entré aussi.

Sept identités, un seul interrupteur

ConnectWise a annoncé l'interruption de service à 05:01 UTC le 17 octobre. Son avis indiquait que l'entreprise avait identifié « un accès non autorisé à des identités applicatives dans l'environnement ConnectWise Cloud Backup » et coupé l'accès applicatif pour les partenaires et les clients. The Hacker News a rapporté le 18 octobre que la suspension avait mis le produit de sauvegarde hors service pendant l'enquête.

Le même jour, l'entreprise a désactivé sept identités applicatives :

• Cloud Backup : 506e08f9-6e9a-4da4-942b-a099a03644ae
• Cloud Management : 2399d300-6fca-4e6a-a686-399fefe75b83
• Cloud Management – MS Teams : 24205314-2b89-4e07-a2a4-579e898a5640
• Cloud Management – Exchange Online : b78f6a77-d4e5-46fb-87e5-d1648bd02519
• Cloud Management – MS Graph : 0de14c77-b9b0-4137-9360-34878a929827
• Cloud Management – Partner Center : 412dcf96-176d-4b3a-a1b0-4981ad66971e
• Cloud Management – SharePoint Online : b2b55f5b-7758-4719-8d8f-88ae172e6bdb

Ces identifiants sont la partie concrète de l'affaire pour quiconque examine des journaux. Une connexion de principal de service nommant l'un d'eux, depuis une adresse que le tenant ne reconnaît pas, est l'événement à rechercher. Une identité de la liste couvre Partner Center, le portail que les partenaires Microsoft utilisent pour gérer les comptes clients : la réponse a donc dépassé le seul produit de sauvegarde.

ConnectWise a déclaré qu'elle n'avait « aucun indicateur à ce jour » d'une compromission des données de sauvegarde de ses partenaires. Les archives existantes sont chiffrées et isolées, selon l'entreprise, et redeviendront accessibles une fois le service rétabli. Une mise à jour du 18 octobre à 01:00 UTC indiquait que Cloud Backup était toujours hors service, que les sauvegardes planifiées ne tournaient pas et que les archives comme la restauration étaient indisponibles. SaaS Security et Cloud Management étaient hors ligne par précaution. ConnectWise a ajouté que l'arrêt ne devait pas être lu comme la preuve qu'un environnement partenaire ou client avait été compromis.

Ce que la révocation d'une application ne corrige pas

Désactiver l'identité d'une application empêche l'émission de nouveaux jetons. Cela n'annule pas les jetons déjà entre les mains de quelqu'un. ConnectWise a indiqué que les jetons d'accès délivrés auparavant pouvaient rester utilisables jusqu'à leur expiration ou leur invalidation, et que les identifiants, permissions ou accès établis via des identités distinctes nécessitaient un examen séparé. Todyl fait la même remarque : révoquer des sessions utilisateur ne met pas fin à un accès applicatif.

Les vérifications recommandées par Microsoft incluent les journaux de connexion des principaux de service filtrés sur l'ID de l'application Cloud Backup et sur les adresses sources inattendues, puis sur les modifications d'identifiants applicatifs, les autorisations OAuth et l'activité Graph associée. Cette consigne pointe un angle mort des outils de reporting : la vue habituelle des connexions utilisateur ne montre pas ce trafic, puisque aucun utilisateur ne s'est connecté.

Huntress conseille de désactiver les applications ConnectWise mises en cause et d'examiner les intégrations Cloud Management. Les tenants qui utilisaient le produit avant le changement de nom peuvent encore le voir comme « SkyKick Cloud Manager », un ancien nom sur un écran de consentement qui masque un risque actuel.

Les fournisseurs de services managés utilisent Cloud Backup, anciennement SkyKick Cloud Backup, pour protéger les boîtes aux lettres, OneDrive, SharePoint et Teams de leurs clients. C'est le produit qui fonctionne comme prévu, et c'est pourquoi une seule intrusion a atteint tant d'organisations. Une identité d'éditeur, détenue dans de nombreux tenants, donne à qui la vole une clé qui ouvre toutes les portes à la fois. Un MSP n'a pas besoin d'être négligent pour être exposé ; être client de l'outil suffit.

La même logique vaut pour chaque intégration qu'un MSP installe. Les outils de sauvegarde, de documentation, de PSA et de supervision à distance demandent couramment un accès large et de longue durée. Chacun est un principal de service avec un identifiant quelque part. Peu d'organisations savent les énumérer de mémoire, et moins encore alertent sur leurs connexions.

Il faut bien que quelqu'un liste les principaux de service de chaque tenant, nomme un responsable pour chacun et place leurs connexions devant une personne capable de remarquer une adresse inhabituelle. Une identité applicative est un compte privilégié : elle mérite d'être examinée comme tel.

Réserves

Les chiffres ne sont pas stabilisés. Huntress a confirmé au moins 162 tenants ; le chiffre de 173 vient d'une compilation ultérieure. Les deux sont des planchers construits sur ce que les chercheurs pouvaient voir, et aucun n'est un décompte final. L'ampleur d'un éventuel vol de données reste inconnue.

Aucun attaquant n'a été nommé publiquement. La méthode d'accès initiale est inconnue, et ConnectWise n'a pas dit comment l'identifiant de l'éditeur a été obtenu. Toute spéculation sur l'un ou l'autre relève de la conjecture à ce stade.

La déclaration de ConnectWise sur l'absence d'indicateurs de compromission des données de sauvegarde est celle de l'entreprise, publiée pendant que son enquête se poursuit. Aucun tiers ne l'a confirmée.

« un accès non autorisé à des identités applicatives dans l'environnement ConnectWise Cloud Backup » — ConnectWise, avis de confiance, 17 octobre 2026

Ce qu'il faut surveiller

Le calendrier de rétablissement est le premier point ouvert. ConnectWise n'en a pas donné, et tant qu'elle ne le fait pas, les partenaires tournent sans sauvegardes planifiées ni accès à la restauration. C'est un risque commercial distinct de l'intrusion, et il grandit chaque jour où le service reste arrêté.

Le deuxième est la communication. Microsoft a confirmé les tentatives d'authentification mais pas un décompte de tenants qui lui soit propre. ConnectWise a confirmé les identités désactivées, pas le chemin qui y a conduit. L'une ou l'autre entreprise pourrait combler la séquence, et aucune ne l'a fait.

Le troisième est ce que les partenaires trouvent en cherchant. Les jetons émis avant l'arrêt expirent selon leur propre calendrier, et les identifiants ajoutés à d'autres applications n'apparaîtront pas dans un avis ConnectWise. Les organisations qui répondront bien seront celles qui disposaient déjà d'un inventaire de leurs principaux de service. Les autres en construiront un maintenant.

Image de couverture : centre de données Microsoft à Middenmeer, aux Pays-Bas, par Hay Kranen, CC BY 4.0, via Wikimedia Commons. La photo montre l'infrastructure cloud de Microsoft, non un site de ConnectWise.