Des clés d’application ConnectWise volées ont ouvert des sessions Microsoft 365

Le 21 octobre 2026, Microsoft a dit qu’un groupe aligné sur la Chine, qu’elle appelle Storm-0940, était derrière l’abus récent de ConnectWise Cloud Backup, autrefois SkyKick. Le groupe n’avait pas besoin du mot de passe de chaque employé. Il a utilisé des identifiants d’application que les clients avaient déjà approuvés, et il a ouvert une session en tant qu’application.

Si votre organisation n’utilise pas ConnectWise ou SkyKick avec Microsoft 365, il n’y a aucun réglage à changer. Si elle les utilise, le geste utile est de laisser les connexions d’application touchées éteintes jusqu’à ce que ConnectWise publie un feu vert formel, et de faire lire les journaux de connexion de l’abonnement par quelqu’un qui peut les lire.

Ce que Microsoft a décrit

Le compte rendu de Microsoft (en anglais) dit que dès septembre 2026, Storm-0940 a utilisé un cadre ouvert de tests d’intrusion appelé ARTEX pour automatiser la reconnaissance, l’aspersion de mots de passe et l’abus d’applications OAuth. Dans plusieurs de ces opérations, dit Microsoft, le délai entre le premier ciblage et un accès infonuagique privilégié a été de moins de trois heures. Microsoft estime que le même acteur a mené le compromis de ConnectWise. Elle dit que l’activité ne venait pas d’une faille dans ses propres produits.

Un utilisateur active l’authentification multifacteur pour sa propre connexion. Une application qu’un administrateur a déjà consentie ne passe pas par cette invite. Elle apparaît comme l’application. Microsoft dit que Storm-0940 a utilisé ainsi des identifiants d’application ConnectWise volés, depuis la même plage de réseau qu’il avait utilisée plus tôt en octobre pour une aspersion de mots de passe. Cette aspersion, du 10 au 14 octobre, a visé 327 comptes dans huit organisations et a produit plus de 151 000 échecs de connexion. Microsoft dit que cette aspersion elle-même n’a pas réussi : aucun jeton n’a été émis et aucun changement d’annuaire n’en est sorti.

Une fois les identifiants d’application en main, Microsoft dit que l’activité suivante, dans certains abonnements clients, comprenait de la reconnaissance Graph, de nouveaux identifiants d’application, et des changements d’identités, de groupes et de rôles privilégiés. Microsoft est explicite : une connexion réussie de l’application ne veut pas dire, à elle seule, que du courrier ou des fichiers ont été copiés.

L’avis de ConnectWise est paru le 16 octobre. Huntress, qui a publié sa propre revue le même jour, a dit qu’au 16 octobre à 19 h UTC elle avait confirmé des connexions non autorisées dans 162 abonnements qu’elle surveille. Huntress a aussi décrit des applications Cloud Management qui s’attribuaient des rôles d’annuaire dans un plus petit ensemble d’abonnements, et a dit ne pas avoir confirmé avec ConnectWise si ce changement de rôle venait de l’attaquant ou de l’automatisation du fournisseur. Traitez le 162 comme le décompte de connexions de Huntress, pas comme un décompte de boîtes de courriel lues.

Quoi faire si vous administrez l’abonnement

1. Gardez les applications ConnectWise et SkyKick touchées désactivées jusqu’à ce que ConnectWise dise de les rétablir. La consigne de Microsoft est de désactiver les connexions, pas de les supprimer d’une façon qui jette les journaux, et d’attendre les étapes de rétablissement de ConnectWise. Cherchez par identifiant d’application, pas par le nom affiché, y compris les abonnements où l’intégration a été retirée mais où le principal de service reste.
2. Passez en revue les connexions de principaux de service à partir du 13 octobre. Cherchez l’activité Graph, de nouveaux identifiants sur des applications, et des attributions de rôles que vous n’avez pas faites. Le billet de Microsoft contient des requêtes pour ses propres outils. Une connexion de l’appli de sauvegarde n’est pas automatiquement une attaque. Des identifiants et des changements de rôle inattendus sont la partie à escalader.
3. L’authentification multifacteur d’un utilisateur ne couvre pas ce chemin. Le correctif est sur l’application : moins de permissions, un consentement qu’un second administrateur doit approuver, et une alerte quand une appli s’accorde un rôle d’annuaire. Faire tourner les mots de passe des employés ne révoque pas un secret d’application déjà entre les mains de quelqu’un d’autre.
4. Les comptes personnels Outlook.com et Gmail ne sont pas cet incident. Il s’agit d’un abonnement où un administrateur a installé le produit de sauvegarde.

Sources

• Microsoft Threat Intelligence, AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise, 21 octobre 2026
• Huntress, ConnectWise (SkyKick) vendor credentials abused in Microsoft 365 attacks, 16 octobre 2026