ConnectWise Cloud Backup : 173 tenants Microsoft 365 touchés

Des attaquants ont détourné l'application ConnectWise Cloud Backup, anciennement SkyKick, pour se connecter à au moins 173 tenants Microsoft 365 le 15 octobre 2026, d'après Huntress, une entreprise de détection d'intrusions. ConnectWise a désactivé l'accès à l'application le 17 octobre à 05 h 01 UTC, sans calendrier de rétablissement, rapportent BleepingComputer et The Hacker News.

Comment l'attaque a-t-elle fonctionné ?

ConnectWise Cloud Backup est un service de sauvegarde pour les prestataires informatiques (MSP) qui protège les données Microsoft 365 et Google Workspace. Pour fonctionner, l'application détient dans chaque tenant où elle est installée de larges permissions accordées au préalable : lecture et écriture des messageries, de OneDrive, de SharePoint, des conversations Teams et de l'annuaire.

Les attaquants se sont authentifiés directement comme l'application, avec ses secrets, au moyen de scripts. Aucun utilisateur ne s'étant connecté, l'authentification multifacteur ne s'est pas appliquée. Huntress situe le vol de jetons le 15 octobre 2026 entre 6 h 13 et 8 h 34 UTC depuis l'adresse IP 144.172.64.128, les tenants étant visités dans l'ordre de leurs identifiants, à quelques secondes d'intervalle, ce qui suggère une liste de cibles préparée.

Microsoft Threat Intelligence qualifie l'événement d'attaque active de la chaîne d'approvisionnement et estime que l'acteur a probablement abusé de permissions déjà accordées, dont Directory.ReadWrite.All.

Quelle est l'ampleur et quels dégâts sont avérés ?

Le chiffre de 173 tenants vient de Huntress via The Hacker News ; BleepingComputer cite au moins 162 tenants compromis dans l'environnement de Huntress, ce qui montre un bilan encore mouvant. Todyl, autre éditeur de sécurité, a analysé neuf tenants et n'y a vu que des connexions, sans création de compte, changement de permission ni persistance.

Les cas les plus graves viennent de partenaires : dans un tenant, une application ConnectWise Cloud Management s'est attribuée le rôle d'administrateur général en cinq minutes environ, puis a ajouté des secrets à un outil de gestion de MSP et à l'application de Huntress. Dans près de 50 tenants suivis par Huntress, des identités d'applications se sont attribué des rôles d'annuaire, le plus souvent administrateur Exchange. Le nombre final de victimes, l'étendue d'un éventuel vol de données et la façon dont l'attaquant a obtenu les identifiants de l'éditeur ne sont pas établis.

Que faire si votre organisation utilise ConnectWise ou SkyKick ?

Les recommandations des éditeurs convergent : désactiver l'application tant que ConnectWise n'a pas confirmé la réinitialisation de tous les identifiants ; consulter dans Microsoft Entra, rubrique Surveillance puis Journaux de connexion, l'onglet Connexions du principal de service, filtré sur l'identifiant d'application 506e08f9-6e9a-4da4-942b-a099a03644ae ; chercher les secrets et certificats ajoutés depuis le 13 octobre 2026 ; vérifier si des applications ConnectWise ou SkyKick se sont ajoutées à un rôle d'annuaire ; activer les journaux d'activité Microsoft Graph.

Attention à un piège : révoquer les sessions des utilisateurs ne coupe pas l'accès par application. Selon Todyl, désactiver l'application empêche l'émission de nouveaux jetons, mais ceux déjà émis restent valables jusqu'à 90 minutes, d'après The Hacker News. Les anciens tenants peuvent afficher ces applications sous le nom « SkyKick Cloud Manager ».

Un risque connu des outils d'administration à distance

Cet incident s'ajoute à d'autres problèmes autour des produits ConnectWise, comme la faille non corrigée de ScreenConnect détaillée par KLYNLABS. Il rappelle qu'une application tierce disposant de droits étendus est une cible de choix : quand son secret fuite, l'attaquant hérite de ses permissions dans tous les clients.

Source

• BleepingComputer — Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack

• The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants