ConnectWise coupe l'accès à sa sauvegarde cloud après une intrusion

Le 17 octobre 2026, ConnectWise a indiqué dans un avis de sécurité avoir coupé l’accès applicatif de ses partenaires et de ses clients à Cloud Backup, anciennement SkyKick Cloud Backup. L’entreprise dit avoir constaté un accès non autorisé à des identités d’application dans son environnement de sauvegarde. Ce service permet aux prestataires informatiques (MSP) et aux équipes IT de protéger et de restaurer les courriels et les fichiers hébergés dans Microsoft 365 et Google Workspace. Le détail de l’incident est rapporté par Bleeping Computer, qui cite les communications de ConnectWise, de Microsoft, de Huntress et de Todyl.

Des autorisations existantes utilisées sans connexion humaine

Pour sauvegarder Microsoft 365, Cloud Backup s’appuie sur des autorisations accordées via Microsoft Entra ID. Chaque application y est représentée par un principal de service, une identité logicielle qui détient les droits que le client lui a donnés. Selon Todyl, une plateforme de cybersécurité destinée notamment aux MSP, l’attaquant s’est authentifié directement avec le secret de l’application de sauvegarde. Les connexions étaient effectuées par un script automatisé : aucun utilisateur ne se connectait, si bien que l’authentification multifacteur ne pouvait pas intervenir.

Ces droits, déjà accordés dans chaque locataire, ouvraient la possibilité technique de lire et d’écrire les courriels et leurs pièces jointes, les fichiers OneDrive et SharePoint, ainsi que les conversations Teams.

Des compromissions qui dépassent la sauvegarde

Microsoft indique avoir relevé des tentatives d’authentification non autorisées depuis une adresse IP dès le 15 octobre, et qualifie l’incident d’attaque active de la chaîne d’approvisionnement. Son analyse estime que l’attaquant a probablement exploité des autorisations existantes, dont Directory.ReadWrite.All.

Huntress, qui présente sa plateforme comme une solution de cybersécurité et de détection managée, a identifié au moins 162 locataires compromis dans son environnement. Sur près de cinquante locataires qu’elle surveille, elle a constaté que des principaux de service des applications de gestion cloud de ConnectWise s’étaient attribué des rôles d’annuaire, surtout Exchange Administrator. Dans un locataire, la persistance a été établie en environ cinq minutes : l’application « Cloud Management - MS Teams » s’est attribué le rôle d’administrateur général et a ajouté des identifiants à un outil de gestion MSP ainsi qu’à l’application de Huntress elle-même.

Microsoft décrit de son côté une porte dérobée activée après l’authentification du principal de service, suivie de reconnaissance via l’API Microsoft Graph et de tentatives d’ajout d’identifiants supplémentaires. Todyl, pour sa part, a analysé neuf locataires où il n’a relevé que de l’activité de connexion, sans trace de création de comptes, de changement de permissions ou de mots de passe, ni de persistance par l’application de sauvegarde. Les constats varient donc selon les locataires et les observateurs.

Ce qui reste incertain

ConnectWise affirme ne disposer à ce stade d’aucun indicateur selon lequel les données de sauvegarde de ses partenaires auraient été compromises. L’entreprise précise que l’archive existante n’est pas touchée par l’interruption, qu’elle sera accessible une fois les services rétablis, et que son enquête et ses travaux de remédiation se poursuivent.

Un utilisateur a rapporté sur Reddit avoir reçu, le 15 octobre, une alerte du service Privileged Identity Management signalant qu’une application SkyKick s’était attribué le rôle Exchange Administrator, alors qu’il ne l’utilisait plus depuis des années. Ce cas n’est qu’un témoignage.

Ces éléments reposent sur un seul article de presse, qui rapporte les communications des acteurs cités. Nous ne les avons pas recoupés auprès des avis primaires.

Le service de sauvegarde est au cœur de l’affaire, mais le point le plus préoccupant est ailleurs : des autorisations accordées il y a des années, et qu’un locataire ne surveillait plus, suffisaient à lire les messages et les fichiers de l’entreprise.