ConnectWise Cloud Backup : 173 tenants M365 touchés

Ce qui se passe

ConnectWise Cloud Backup, anciennement SkyKick, est une application Microsoft 365 que les prestataires de services gérés (MSP) installent chez leurs clients pour sauvegarder boîtes mail, OneDrive, SharePoint, Teams et annuaire. Pour travailler, elle reçoit des droits étendus dans chaque tenant où elle est installée.

C'est son identifiant d'application qui a fuité. Huntress a confirmé des connexions non autorisées dans 173 tenants de partenaires et de clients. Le 15 octobre 2026, entre 06:13 et 08:34 UTC, des jetons Microsoft Graph ont été obtenus depuis 144.172.64.128, tenant après tenant, par ordre croissant de GUID et à quelques secondes d'écart : un script qui déroule une liste de cibles. La même adresse avait tenté des mots de passe sur quatre cabinets d'avocats les 13 et 14 octobre, sans connexion réussie dans la télémétrie de Huntress. Celle-ci remarque aussi que les victimes les plus intéressantes commencent par la lettre A, un indice pour prioriser, pas une règle.

Microsoft décrit une attaque active et juge que l'acteur a probablement réutilisé des permissions déjà consenties, dont Directory.ReadWrite.All. Après une phase de reconnaissance via l'API Graph, il a tenté d'ajouter des identifiants au compte de service de l'application dans les tenants visés, pour garder un accès direct.

Chez au moins un partenaire, Huntress a vu l'application ConnectWise Cloud Management pour Teams s'attribuer le rôle d'administrateur général, puis un script Python (User-Agent Python-urllib/3.12) ajouter des secrets clients à deux autres applications : un outil de gestion de MSP et l'application de Huntress elle-même. Un secret sur ce genre d'application ouvre potentiellement d'autres tenants.

Pourquoi ça compte

L'attaquant ne vole le compte de personne : il se présente comme l'application, avec le consentement que le client lui a déjà donné. Todyl le dit sans détour : révoquer les sessions d'utilisateurs ne coupe pas cet accès. Désactiver l'application dans un tenant empêche l'émission de nouveaux jetons, mais ceux déjà émis restent valides jusqu'à 90 minutes, et tout tenant où elle reste activée est exposé jusqu'à ce que ConnectWise change le secret. Huntress ajoute que certaines lectures de l'annuaire via Graph ne laissent aucune trace d'audit : mieux vaut agir sans attendre une preuve.

ConnectWise a fermé l'accès de l'application Cloud Backup jusqu'à nouvel ordre. L'éditeur dit ne pas avoir de preuve que les données sauvegardées aient été touchées ; l'enquête continue.

Que faire

1. Dans le centre d'administration Entra : Monitoring → Sign-in logs, onglet Service principal sign-ins (l'onglet par défaut, celui des utilisateurs, n'affiche pas ces connexions), puis filtrer sur l'Application ID 506e08f9-6e9a-4da4-942b-a099a03644ae.
2. Dans la colonne des adresses IP, chercher tout ce qui sort des plages Microsoft/Azure : le trafic normal de l'application passe par de l'IPv6 privé Azure.
3. Désactiver l'application tant que ConnectWise n'a pas confirmé que tous ses identifiants sont réinitialisés.
4. Activer les journaux d'activité Microsoft Graph.
5. Auditer les identifiants ajoutés depuis le 13 octobre 2026, et chercher dans les journaux d'audit Entra une application ConnectWise ou SkyKick qui s'ajoute à un rôle d'annuaire.

Les identifiants d'application abusés dans la campagne :

Si vous publiez une application multi-tenant

Lecture personnelle, hors de la source : un secret unique, consenti avec des droits larges, ouvre tous les clients à la fois. Limiter les permissions au strict nécessaire et surveiller les ajouts d'identifiants réduit ce rayon d'action.

Source : Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants, The Hacker News, 17 octobre 2026, qui s'appuie sur Huntress, Todyl, Microsoft et ConnectWise. Histoire en développement.