ConnectWise suspend ses services de sauvegarde cloud après une compromission d’identités d’application

ConnectWise a suspendu son service Cloud Backup et lancé une large réinitialisation des identifiants après avoir détecté un accès non autorisé aux identités d’applications. L’entreprise a commencé à déployer des mesures d’atténuation le 17 octobre 2026, trois jours après la première identification de l’incident de sécurité. Cette réponse comprend la désactivation des connexions affectées et le recours à des spécialistes tiers pour gérer le processus de remédiation.

Ce qui s’est passé

L’incident de sécurité a spécifiquement ciblé les identités d’applications associées à ConnectWise Cloud Backup. En réponse, ConnectWise a désactivé les connexions d’applications affectées et suspendu entièrement le service Cloud Backup. Par mesure de précaution, l’entreprise a également suspendu deux autres services intégrés : SaaS Security et Cloud Management. Ces suspensions restent en vigueur tandis que l’entreprise valide l’efficacité de ses mesures de confinement.

ConnectWise a déclaré avoir renforcé les protections d’accès administratifs, réinitialisé les comptes et remplacé les identifiants d’applications. L’entreprise a souligné qu’elle n’a observé aucune activité malveillante réussie dans les environnements qu’elle surveille directement. Cependant, elle a précisé que cette observation ne garantit pas que les locataires Microsoft 365 individuels des partenaires ou clients sont épargnés. ConnectWise a exhorté les partenaires à examiner chaque locataire potentiellement affecté individuellement avant de reconnecter les applications.

La société indépendante de cybersécurité Huntress a fourni un contexte supplémentaire en partageant des indicateurs de compromission observés en lien avec cette activité. Les chercheurs de Huntress ont examiné les connexions d’applications sur plus de 10 000 locataires utilisant les applications ConnectWise. Ils ont identifié des adresses IP spécifiques liées à l’incident, notant qu’une seule adresse a généré une véritable activité de connexion d’application, tandis que les autres étaient associées à des attaques par bourrage d’identifiants (password spray) pouvant être sans rapport.

Comment cela fonctionne

Le vecteur d’attaque impliquait un accès non autorisé aux identifiants du fournisseur, ce qui a permis à l’acteur de menace d’effectuer des connexions d’applications. Selon Huntress, l’adresse IP principale associée à ces connexions d’applications était 144.172.64[.]128. Une fois à l’intérieur d’un locataire, les attaquants ont suivi un mode opératoire cohérent. L’application compromise s’est accordé des privilèges Global Administrator, une permission de haut niveau offrant un contrôle étendu sur l’environnement Microsoft 365.

Après avoir escaladé les privilèges, les attaquants ont ajouté de nouveaux secrets à un petit nombre d’autres applications enregistrées au sein du locataire. Cette technique assure la persistance, permettant à l’attaquant de maintenir l’accès même si le point d’entrée initial est découvert et fermé. Huntress a noté que le choix des applications à backdoorer semblait aléatoire, sans considération pour les capacités réelles de ces applications. Le seul critère constant était structurel : les identifiants ont été implantés dans des applications enregistrées à l’intérieur du locataire affecté.

Bien que les attaquants aient probablement utilisé cet accès pour lire des données d’annuaire via Microsoft Graph, il n’y a actuellement aucun signe qu’ils aient armé cet accès pour manipuler des boîtes aux lettres, voler des fichiers ou modifier des politiques. D’autres adresses IP dans la même plage de fournisseur ont été observées menant des attaques larges par bourrage d’identifiants, mais Huntress a déterminé qu’elles étaient peu susceptibles d’être liées à l’activité spécifique de connexion d’application ciblant les identités ConnectWise.

Détails clés

• ConnectWise a commencé les mesures d’atténuation le 17 octobre 2026, à 5h00 UTC, trois jours après l’identification de l’incident.
• Les services Cloud Backup, SaaS Security et Cloud Management sont actuellement suspendus par précaution.
• L’indicateur principal de compromission pour les connexions d’applications est l’adresse IP 144.172.64[.]128.
• Les attaquants ont escaladé les privilèges en accordant à l’application compromise des droits Global Administrator.
• La persistance a été obtenue en ajoutant de nouveaux secrets à d’autres applications sélectionnées aléatoirement au sein du locataire.
• ConnectWise a publié des directives techniques pour aider les partenaires à enquêter sur toute activité non autorisée potentielle.

Pourquoi c’est important

Cet incident met en lumière les risques inhérents aux dépendances de la chaîne d’approvisionnement, en particulier lorsque les fournisseurs de services gérés (MSP) disposent d’un accès à privilèges élevés aux environnements clients. Pour les responsables IT et les ingénieurs en sécurité, la compromission des identités d’applications est particulièrement préoccupante car elle contourne les contrôles de sécurité traditionnels centrés sur l’utilisateur, comme l’authentification multifacteur. Lorsqu’une identité d’application est compromise, l’attaquant opère avec les permissions accordées à ce compte de service, qui incluaient dans ce cas la capacité de s’élever au statut de Global Administrator.

La suspension de services critiques tels que Cloud Backup et SaaS Security démontre l’impact opérationnel de telles brèches. Les organisations comptant sur ces outils pour la protection des données et la surveillance de la sécurité doivent désormais naviguer dans une période de visibilité et de résilience réduites. De plus, l’avertissement de ConnectWise selon lequel des locataires individuels peuvent encore être affectés place la charge de l’enquête sur les partenaires et les clients. Cela nécessite un effort significatif pour préserver les preuves, valider les conclusions et évaluer les impacts opérationnels avant de restaurer les services.

Ce que vous pouvez faire

• Examinez les directives techniques publiées par ConnectWise pour enquêter sur toute activité non autorisée potentielle dans votre environnement.
• Préservez les preuves pertinentes et validez les conclusions avant d’apporter des modifications à votre locataire Microsoft 365.
• Vérifiez vos journaux pour repérer les connexions d’applications provenant de l’adresse IP 144.172.64[.]128.
• Ne reconnectez pas les applications affectées tant que ConnectWise n’a pas fourni d’instructions formelles de restauration.
• Auditez votre locataire pour détecter tout secret inconnu ajouté aux applications enregistrées, surtout celles ayant des privilèges élevés.
• Évaluez l’impact opérationnel des services Cloud Backup et SaaS Security suspendus sur vos plans de continuité des activités.