Veille menaces / Attaque
ConnectWise Cloud Backup : un identifiant d'application volé utilisé pour entrer dans des tenants Microsoft 365 de clients
Des attaquants ont utilisé un identifiant compromis de ConnectWise Cloud Backup (ex-SkyKick), une application de sauvegarde que les infogéreurs connectent à Microsoft 365, pour se connecter aux tenants de clients avec les droits que ceux-ci lui avaient accordés. Huntress a confirmé des connexions non autorisées dans 162 tenants. ConnectWise a suspendu Cloud Backup, SaaS Security et Cloud Management, réinitialisé ses identifiants et dit n'avoir aucune preuve que les données sauvegardées aient été compromises.
- Secteur
- Tech et SaaS
- Point d'entrée
- Fournisseur
- Produit ou fournisseur
- ConnectWise Cloud Backup, SkyKick, ConnectWise SaaS Security, ConnectWise Cloud Management
- Comment c'est arrivé
- Les attaquants ont utilisé un identifiant compromis de l'application ConnectWise Cloud Backup (une « client assertion », selon Huntress) et se sont connectés aux tenants Microsoft 365 de clients via cette application de confiance. Selon Microsoft, ils ont probablement exploité des droits accordés auparavant par les clients. ConnectWise parle d'un accès non autorisé à des identités applicatives de son environnement Cloud Backup ; la façon dont l'identifiant a été obtenu n'est pas publique.[2][3][4] Vérifié le 9 nov. 2026
- Ce qui a été volé
- Aucun vol de données confirmé. Huntress a vu l'accès servir à lire l'annuaire via Microsoft Graph, sans signe de manipulation de boîtes mail ou de fichiers. Dans un tenant, une application ConnectWise s'est ajoutée au rôle d'administrateur général et a ajouté de nouveaux secrets à d'autres applications pour garder l'accès. ConnectWise dit n'avoir aucune preuve que les données sauvegardées des partenaires aient été compromises.[2][3][4] Vérifié le 9 nov. 2026
- Qui est touché
- Les infogéreurs et leurs clients qui utilisent ConnectWise Cloud Backup : Huntress a confirmé des connexions non autorisées dans 162 tenants de clients, et la suspension de Cloud Backup, SaaS Security et Cloud Management a arrêté les sauvegardes planifiées, les restaurations et l'accès aux archives pour tous les utilisateurs de ces services.[2][3] Vérifié le 9 nov. 2026
- Acteur
- Non attribué
Chronologie
- Les 13 et 14 octobre, l'adresse IP utilisée ensuite dans l'attaque sert à des essais de mots de passe en masse contre quatre tenants de cabinets d'avocats, selon Huntress. Aucune connexion réussie n'est observée. [1][2]
- Les attaquants se connectent avec l'identifiant de l'application Cloud Backup et passent d'un tenant client à l'autre. Dans un tenant, l'application ConnectWise Cloud Management pour Teams s'ajoute au rôle d'administrateur général. [1][2]
- ConnectWise suspend Cloud Backup et désactive les connexions applicatives touchées, en évoquant un accès non autorisé à des identités applicatives de son environnement Cloud Backup. Huntress compte alors des connexions non autorisées dans 173 tenants. [1][2][4]
- ConnectWise coupe aussi SaaS Security et Cloud Management par précaution. [2][4]
- Huntress confirme des connexions non autorisées dans 162 tenants clients. Microsoft estime que l'attaquant a probablement exploité des droits accordés auparavant par les clients. Un porte-parole de ConnectWise affirme qu'aucun élément n'indique que les données sauvegardées des partenaires aient été compromises. Aucune source n'attribue l'attaque. [2][3]
- ConnectWise annonce avoir terminé la réinitialisation des comptes et des identifiants et prépare une remise en service par étapes. L'éditeur demande de ne pas reconnecter les applications touchées avant ses instructions officielles. [4]