Un acteur malveillant a exploité un identifiant de fournisseur compromis au sein de l’application ConnectWise Cloud Backup pour s’authentifier sans autorisation sur 173 locataires Microsoft 365, contournant ainsi les contrôles de sécurité des utilisateurs et déclenchant une alerte de la chaîne d’approvisionnement en octobre 2026.
Parce que les applications de sauvegarde et de gestion possèdent par nature de larges privilèges délégués pour accomplir leurs tâches, l’exploitation de ce jeton a fourni aux attaquants des capacités étendues.
Des identifiants détournés frappent les services cloud
Une faille de sécurité d’origine fournisseur a touché des organisations à travers le monde le 15 octobre 2026, lorsqu’un secret d’application a été détourné. L’incident met en cause ConnectWise Cloud Backup, une solution connue auparavant sous le nom de SkyKick Backup et largement utilisée par les prestataires de services gérés pour protéger les données cloud.
Selon les investigations menées par Huntress, le secret compromis correspondait à une « assertion de client », un jeton API qui prouve l’identité d’un logiciel auprès de Microsoft Entra sans nécessiter l’intervention directe d’un utilisateur. L’authentification initiale est partie d’une adresse IP d’hébergement, le 144.172.64.128, entre 06:13 et 08:34 UTC. Les requêtes provenaient de scripts automatisés égrenant les identifiants de locataires dans un ordre précis, quelques secondes seulement séparant chaque tentative.
Les attaquants ont exploité un identifiant de compte de service ConnectWise compromis qui résidait directement dans le propre locataire de l’entreprise. Cet incident a également touché des secteurs variés incluant des cabinets d’avocats, des entités liées au commerce et à la sécurité nationale, ainsi que des infrastructures critiques et des sociétés technologiques.
Des manœuvres pour s’implanter durablement
Au-delà d’une simple consultation de données, certaines intrusions ont révélé des manœuvres destinées à s’implanter durablement dans les environnements ciblés. Dans l’un des locataires surveillés par Huntress, l’application ConnectWise Cloud Management dédiée à Microsoft Teams s’est elle-même attribuée le rôle d’administrateur global avant d’exécuter un script Python pour injecter de nouveaux secrets d’application.
Microsoft Threat Intelligence is tracking an active supply chain attack in which a threat actor compromised the trusted OAuth App of the backup application ConnectWise Cloud Backup (AppId: 506e08f9-6e9a-4da4-942b-a099a03644ae), formerly SkyKick Backup, to obtain access tokens… pic.twitter.com/5FF8H30jaX
Ces identifiants de secours, configurés pour expirer en 2028, visaient d’autres applications de gestion de prestataires ainsi que la plateforme de sécurité de Huntress elle-même. Microsoft Threat Intelligence a de son côté observé des actions similaires, signalant des phases de reconnaissance via l’API Microsoft Graph et des tentatives d’ajout de nouveaux certificats, ce qui correspond à la technique MITRE ATT&CK T1098.001 pour la persistance sur les comptes cloud.
L’éditeur prend des mesures correctives
Face à la propagation rapide de l’incident, l’éditeur a pris des mesures correctives d’envergure. ConnectWise a désactivé les applications concernées afin de stopper les connexions illégitimes.
La plateforme Huntress a de son côté supprimé l’identifiant non autorisé sur sa propre application et activé le verrouillage des propriétés d’instance d’application sur l’ensemble de ses outils. ConnectWise a indiqué qu’aucun indicateur ne montre à ce jour une compromission des données de sauvegarde des partenaires.
Les experts en cybersécurité, relayés par Cashwalklabs, recommandent aux administrateurs de systèmes de désactiver sans supprimer ces applications pour préserver l’intégrité des archives existantes, tout en inspectant rigoureusement les journaux d’audit de Microsoft Entra pour repérer toute modification anormale de rôles ou de secrets d’ici la résolution complète de la crise.
Pour aller plus loin