Veille menaces / Fuite de données
MSP Process : identifiants d'applications et jetons d'accès aux tenants Microsoft de prestataires dérobés chez l'éditeur
MSP Process, éditeur de logiciels pour prestataires de services managés, indique qu'un tiers non autorisé a accédé à l'un de ses serveurs internes et à une partie de son infrastructure le 7 novembre 2026, entre 9 h 56 et environ 14 h 40 UTC. Cette infrastructure contenait des identifiants d'applications et des jetons d'accès des partenaires qui utilisent ses fonctions reliées aux relations d'administration de Microsoft Partner Center (Authenticator, Password Reset, Contacts sync). L'éditeur a renouvelé ses identifiants et désactivé ses fonctions d'identité pour tous les partenaires. Huntress, cité par The Stack, a observé des octrois de jetons malveillants réussis dans 47 tenants. MSP Process n'a pas dit comment l'attaquant est entré.
- Secteur
- Tech et SaaS
- Point d'entrée
- Pas encore public
- Produit ou fournisseur
- MSP Process, Microsoft Partner Center, Microsoft Entra ID
- tenants avec des octrois de jetons malveillants réussis, selon Huntress[2]
- 47
- Comment c'est arrivé
- MSP Process indique qu'un tiers non autorisé a accédé à l'un de ses serveurs internes et à une partie de son infrastructure, et qu'une clé d'accès volée a cessé de fonctionner le 7 novembre à 19 h 05 UTC. L'éditeur ne dit pas comment l'attaquant est entré au départ. Des journaux de Huntress rapportés par The Stack montrent une pulvérisation de mots de passe contre des comptes d'employés de MSP Process le 6 novembre, sans succès observé, puis un premier jeton valide le 7 novembre à 10 h 01 UTC. MSP Process a prévenu que quiconque détient le secret client d'une de ses applications peut utiliser ces droits directement dans les tenants clients, sans connexion d'utilisateur ni MFA.[1][2] Vérifié le 11 nov. 2026
- Ce qui a été volé
- MSP Process indique que l'infrastructure contenait les données de traitement de ses fonctions Partner Center, dont des identifiants d'applications et des jetons d'accès des partenaires qui les utilisent. The Stack et Field Effect rapportent qu'il s'agissait d'identifiants et de secrets clients d'applications Entra, de jetons d'actualisation d'administrateurs et des listes de relations GDAP ; MSP Process n'a pas confirmé ce détail. Dans un tenant, Huntress indique que l'attaquant a exfiltré des données.[1][2][3] Vérifié le 11 nov. 2026
- Qui est touché
- Les prestataires de services managés qui utilisent MSP Process et les tenants de leurs clients. Les partenaires concernés ont été contactés le 7 novembre et tous les autres le 8. The Stack indique que l'éditeur sert plus de 1 000 prestataires. Huntress a compté 47 tenants avec des octrois de jetons malveillants réussis, et une activité manuelle importante dans l'un d'eux, où l'attaquant a ajouté des rôles, posé des secrets sur des dizaines d'applications, créé des comptes de service et réactivé des comptes.[1][2][3] Vérifié le 11 nov. 2026
- Acteur
- Non attribué. Aucun acteur nommé. Field Effect indique que l'activité n'a pas été attribuée publiquement.
Chronologie
- Huntress observe une pulvérisation de mots de passe contre des comptes d'employés de MSP Process depuis des proxys résidentiels, sans succès observé, et des tentatives de connexion par secret client échouées, selon The Stack. [2]
- Entre 9 h 56 et environ 14 h 40 UTC, un tiers non autorisé accède à un serveur interne de MSP Process et à une partie de son infrastructure. La clé d'accès volée cesse de fonctionner à 19 h 05 UTC. Les partenaires concernés sont contactés le jour même. [1]
- MSP Process contacte tous les autres partenaires et leur demande, par précaution, de renouveler les clés d'API stockées chez lui. Ses fonctions de vérification Authenticator et de gestion des identités restent désactivées pour tous les partenaires. [1]
- The Stack rapporte les constats de Huntress : 47 tenants avec des octrois de jetons malveillants réussis. Le PDG de MSP Process indique aux clients que la brèche est contenue, que Sophos mène la réponse à incident, et que l'endiguement sur la plateforme ne garantit pas à lui seul que les tenants des partenaires sont sains. [2]
- Field Effect conseille d'examiner les journaux d'audit Entra ID depuis le 6 novembre environ, et signale que les enregistrements de l'offre gratuite liés à l'incident commencent à expirer le 14 novembre. [3]