ConnectWise Cloud Backup a été suspendu le 17 octobre 2026 après la découverte d'un accès non autorisé ayant compromis des tenants Microsoft 365 de ses clients. L'éditeur, dont les outils équipent de nombreux prestataires informatiques (MSP) qui gèrent eux-mêmes des centaines de clients, a désactivé sept identités d'application pour couper l'accès des attaquants. Selon le cabinet de sécurité Huntress, près de 1 000 tenants auraient reçu des connexions depuis une adresse IP liée à l'incident, dont environ 300 avec succès : un rappel que, dans la chaîne d'approvisionnement informatique, la compromission d'un seul fournisseur peut toucher des centaines d'organisations en aval.
Que s'est-il passé chez ConnectWise Cloud Backup ?
ConnectWise a confirmé que des acteurs de menace non identifiés ont obtenu un accès non autorisé à des identités d'application de la plateforme, leur permettant de s'authentifier auprès de Microsoft Entra ID comme le ferait une application légitime, sans avoir besoin du mot de passe de chaque client. Une fois ce jeton obtenu, un attaquant peut en théorie élever ses privilèges jusqu'au rôle d'administrateur global d'un tenant, ajouter des secrets à d'autres applications ou en créer de nouvelles pour s'y maintenir.
L'incident a été repéré le 14 octobre 2026 grâce à la supervision interne de ConnectWise. Le 17 octobre à 7h00 UTC, l'éditeur a désactivé sept identités d'application : ConnectWise Cloud Backup, ainsi que quatre identités liées à Cloud Management (Teams, Exchange Online, Microsoft Graph, Partner Center) et SharePoint Online. Par précaution, les modules SaaS Security et Cloud Management ont aussi été mis hors ligne le temps de l'examen.
Chronologie confirmée de l'incident
| Date (UTC) | Événement |
|---|---|
| 13 octobre 2026 | Début de la période de connexions examinée par ConnectWise |
| 14 octobre 2026 | Détection de l'incident par la supervision interne de ConnectWise |
| 15 octobre 2026, 08h45 | Dernières connexions malveillantes observées depuis l'adresse d'origine |
| 15 octobre 2026, jusqu'à 14h20 | Activité manuelle ciblée, puis une seconde vague visant 16 tenants spécifiques |
| 17 octobre 2026, 07h00 | Désactivation des sept identités d'application concernées |
| 17 octobre 2026 | Publication de l'avis officiel de ConnectWise |
Selon Huntress, cette seconde vague du 15 octobre a visé 16 tenants dans les secteurs de la politique, de la sécurité nationale, du commerce et des minéraux critiques, sans succès rapporté. Le cabinet indique aussi avoir confirmé un abus de l'application Teams dans au moins un tenant, et soupçonne, sans l'avoir encore confirmé, une utilisation similaire des applications Cloud Management pour Exchange et SharePoint.
Des données ont-elles été exfiltrées ?
Sur ce point précis, aucune confirmation n'existe à ce stade : ConnectWise affirme que les archives de sauvegarde restent chiffrées, isolées et préservées, et qu'aucun élément ne prouve qu'elles aient été consultées ou copiées. Il convient de distinguer cette affirmation de l'éditeur, qui reste à vérifier dans la durée, des faits déjà établis sur l'accès non autorisé lui-même.
À retenir : la désactivation des identités d'application empêche de nouvelles connexions malveillantes, mais elle n'annule pas les modifications déjà faites dans un tenant compromis. Des jetons déjà émis peuvent rester valides jusqu'à leur expiration naturelle.
Comment se protéger si vous utilisez ConnectWise ?
- Examiner vos propres connexions Entra ID à la recherche des adresses IP signalées par Huntress, notamment 144.172.64[.]99, 144.172.64[.]60 et 144.172.64[.]128, à partir du 13 octobre 2026.
- Vérifier les connexions dormantes de type SkyKick, citées par Huntress comme vecteur possible, même sur des tenants que vous pensiez inactifs.
- Contrôler les secrets d'application, les rôles d'administrateur global, les consentements OAuth accordés et les règles de transport ou de redirection de messagerie, qui sont les leviers typiques de persistance décrits dans ce type d'incident.
- Préserver vos journaux avant toute mesure de confinement, pour permettre une investigation ultérieure si une compromission est confirmée sur votre tenant.
- Suivre les publications de ConnectWise et de Huntress avant de réactiver les intégrations Cloud Backup, SaaS Security ou Cloud Management désactivées, le processus de remédiation étant toujours en cours au moment de la publication de cet article.
IP liées à l'incident (selon ConnectWise et Huntress) :
144.172.64[.]99
144.172.64[.]60
144.172.64[.]128
Cet incident rappelle d'autres compromissions de la chaîne d'approvisionnement logicielle, comme la fuite ayant touché ASOS via la plateforme Snowflake, ou le vol d'identifiants cloud documenté dans notre article sur le LLMjacking. Le mécanisme d'identités d'application volées rapproche aussi ce cas du vol de sessions et de jetons 2FA détaillé dans notre analyse du vol de sessions par un infostealer. Selon The Hacker News, Huntress recommande en particulier de ne pas se limiter à son propre tenant, mais de vérifier également ceux de tous les clients gérés via la plateforme ConnectWise, qu'ils soient ou non en France : les obligations de notification qui en découlent dépendent du cadre NIS 2 applicable à votre organisation.
Points clés
- ConnectWise a désactivé sept identités d'application le 17 octobre 2026 après un accès non autorisé détecté le 14 octobre, touchant notamment Cloud Backup.
- Huntress évalue à environ 1 000 le nombre de tenants Microsoft 365 ayant reçu une connexion depuis l'IP malveillante identifiée, dont environ 300 avec succès.
- Une seconde vague, plus ciblée, a visé le 15 octobre 16 tenants dans des secteurs sensibles (politique, sécurité nationale, commerce, minéraux critiques), sans succès rapporté.
- ConnectWise affirme qu'aucune preuve n'indique que les sauvegardes chiffrées ont été consultées, mais ce point reste à confirmer dans la durée.
- La désactivation des identités ne révoque pas automatiquement les changements déjà faits ni les jetons déjà émis : un examen actif du tenant reste nécessaire pour chaque client concerné.