Des hackers chinois ont utilisé des agents IA pour compromettre ConnectWise et espionner des milliers d'entreprises

Des hackers soutenus par l'État chinois ont compromis le géant de la gestion informatique ConnectWise, volant des identifiants d'application qui leur ont permis d'espionner des milliers de clients professionnels. Les chercheurs en sécurité de Microsoft ont confirmé l'intrusion dans le service de sauvegarde cloud de ConnectWise, exposant les liens de données utilisés par les entreprises pour sauvegarder leurs informations.

Les attaquants ont tiré parti de l'intelligence artificielle pour automatiser l'exploitation de ces identifiants volés, ciblant environ 2 250 organisations lors d'une campagne rapide et coordonnée. Cet incident met en lumière une menace croissante où les outils d'IA ne sont plus seulement des risques théoriques, mais des composants actifs dans des opérations d'espionnage cybernétique à grande échelle.

Ce qui s'est passé

Les chercheurs en sécurité de Microsoft ont identifié que des hackers ont pénétré dans le service de sauvegarde cloud de ConnectWise. Les intrus n'ont pas simplement volé des données statiques ; ils ont extrait des identifiants d'application. Ces identifiants sont critiques car ils établissent les liens de confiance entre ConnectWise et ses clients professionnels. Beaucoup de ces clients comptent sur le service cloud pour sauvegarder les données de leur entreprise, ce qui signifie que les identifiants compromis offraient une voie directe vers leurs systèmes internes.

Une fois en possession de ces identifiants, les hackers pouvaient se connecter aux environnements hébergés chez Microsoft des clients comme s'ils étaient des utilisateurs autorisés. Ce niveau d'accès leur permettait de consulter les e-mails, d'accéder aux fichiers et de surveiller les activités sans déclencher de soupçons immédiats. La violation a effectivement transformé une relation de confiance avec un fournisseur en une vulnérabilité pour des milliers d'entreprises qui avaient placé leur confiance dans l'infrastructure de ConnectWise.

ConnectWise a réagi en suspendant l'accès à son système de sauvegarde cloud pour contenir les dégâts. L'entreprise a déclaré qu'elle enquêtait activement sur la violation et travaillait à la restauration du service. À jeudi, les efforts de restauration étaient en cours, mais l'étendue de l'exposition des données reste une préoccupation majeure pour les organisations affectées.

Comment cela fonctionne

L'ampleur et la rapidité de cette attaque ont été rendues possibles par l'utilisation d'agents IA. Microsoft a rapporté que les hackers ont tenté des connexions à un rythme proche de 3 000 par minute. Ce volume est difficile à gérer manuellement pour les équipes de sécurité humaines, car il submerge les outils de surveillance traditionnels et laisse peu de temps aux défenseurs pour détecter et répondre aux anomalies.

L'outil spécifique utilisé était ARTEX, un framework IA open source conçu pour travailler avec des modèles d'IA afin de tester la robustesse des défenses cybernétiques. Dans ce contexte, les hackers ont détourné un outil destiné aux tests défensifs pour en faire une arme offensive. ARTEX a automatisé le processus d'utilisation des identifiants volés pour tenter d'accéder simultanément à des milliers de comptes, éliminant le besoin d'intervention manuelle et permettant aux attaquants de passer à l'échelle efficacement.

Ce même logiciel d'IA avait précédemment été lié à une compromission des systèmes financiers de la Corée du Sud. Dans ce cas, de nombreux systèmes ciblés possédaient des protocoles de sécurité faibles et manquaient d'authentification multifacteur, les rendant vulnérables aux attaques automatisées par force brute ou par remplissage d'identifiants (credential-stuffing). La récurrence d'ARTEX dans ces violations médiatisées suggère que les acteurs soutenus par l'État standardisent leurs boîtes à outils autour de frameworks IA accessibles et puissants.

Détails clés

• Cible : ConnectWise, un important fournisseur de gestion informatique et d'accès à distance.
• Attaquant : Des hackers soutenus par l'État chinois, selon les chercheurs en sécurité de Microsoft.
• Méthode : Violation du service de sauvegarde cloud de ConnectWise pour voler des identifiants d'application.
• Échelle : Environ 2 250 organisations ont été ciblées et compromises.
• Outil : ARTEX, un framework IA open source utilisé pour automatiser les tentatives de connexion à près de 3 000 par minute.
• Impact : Les hackers ont obtenu un accès de niveau autorisé aux environnements hébergés chez Microsoft, y compris les e-mails et les fichiers.

Pourquoi c'est important

Pour les développeurs de logiciels et les responsables TI, cet incident souligne la fragilité de la sécurité de la chaîne d'approvisionnement. Lorsqu'un fournisseur comme ConnectWise est compromis, le risque se propage à chaque client qui lui fait confiance pour ses liens de données. Il ne suffit plus de sécuriser uniquement votre propre périmètre ; vous devez également évaluer la posture de sécurité des services tiers qui s'intègrent à votre infrastructure. Le vol d'identifiants d'application est particulièrement dangereux car il contourne les protections au niveau utilisateur, accordant aux attaquants un accès systémique.

L'utilisation d'agents IA comme ARTEX change la dynamique de la réponse aux incidents. Les centres opérationnels de sécurité traditionnels reposent sur des alertes et des investigations humaines, mais une vitesse d'attaque de 3 000 connexions par minute réduit la fenêtre de décision à quelques secondes. Les défenseurs doivent désormais supposer que les menaces automatisées dépasseront les réponses manuelles. Cela nécessite une transition vers des mécanismes de défense automatisés capables de rivaliser avec la vitesse des attaques pilotées par l'IA, tels que la détection d'anomalies en temps réel et la révocation automatique des identifiants.

De plus, la réutilisation d'ARTEX dans différents contextes géopolitiques, du secteur financier sud-coréen aux cabinets mondiaux de gestion informatique, indique que ces outils deviennent des produits courants parmi les acteurs de menaces avancés. Les organisations ne peuvent plus considérer les cyberattaques améliorées par l'IA comme rares ou expérimentales. Elles constituent une réalité persistante qui exige des architectures de sécurité mises à jour, incluant l'application stricte de l'authentification multifacteur et des principes de confiance zéro (zero-trust) pour toutes les connexions service-à-service.

Ce que vous pouvez faire

• Auditez toutes les intégrations tierces et identifiez quels services détiennent des identifiants d'application pour votre environnement.
• Implémentez une authentification multifacteur stricte pour tous les comptes administratifs et de service, en particulier ceux liés aux sauvegardes cloud.
• Surveillez les modèles de connexion inhabituels, tels que les tentatives à haut volume provenant de sources uniques, et automatisez les réponses pour les bloquer.
• Examinez les journaux d'accès pour toute entrée non autorisée pendant la période de la violation de ConnectWise si vous êtes client.
• Adoptez un modèle de confiance zéro où les connexions service-à-service nécessitent une vérification continue, et non seulement des identifiants initiaux.
• Restez informés des outils de sécurité IA open source comme ARTEX pour comprendre comment ils pourraient être détournés pour attaquer vos systèmes.