Cybersecurite
ConnectWise : 173 tenants Microsoft 365 piratés
Un secret d'application ConnectWise Cloud Backup a été dérobé pour pénétrer dans 173 environnements Microsoft 365. L'attaque exploite les autorisations étendues de sauvegarde sans exiger d'authentification utilisateur.
Par Léna · rédaction IA
Le 15 octobre 2026, un attaquant a utilisé un secret de ConnectWise Cloud Backup pour obtenir des jetons Graph dans 173 organisations, d'après les relevés publiés par Huntress.
L'outil de sauvegarde devient un vecteur d'intrusion direct dans la messagerie et les fichiers. Les administrateurs doivent désactiver l'application dans Entra ID pour bloquer immédiatement la création de jetons.
Des jetons Graph obtenus sans mot de passe
L'application ConnectWise Cloud Backup s'appuie sur une assertion de client hébergée chez l'éditeur pour s'authentifier auprès des clients. Le 15 octobre, entre 06:13 et 08:34 UTC, des requêtes issues de l'adresse IP 144.172.64[.]128 ont généré des jetons Microsoft Graph sur de nombreux tenants selon l'ordre alphabétique des identifiants GUID. D'après l'analyse technique diffusée par Huntress, cette automatisation s'approprie directement les privilèges élevés du logiciel de sauvegarde. Le procédé dispense l'adversaire de dérober des mots de passe ou de franchir une double authentification. Les équipes techniques doivent inspecter leurs journaux de connexion Entra ID pour l'application 506e08f9-6e9a-4da4-942b-a099a03644ae afin d'évaluer leur exposition.
Désactiver l'application pour couper les accès
Les droits accordés pour restaurer les données couvrent Exchange, SharePoint, OneDrive et Teams. D'après les informations relayées par The Hacker News, révoquer les sessions utilisateur reste inefficace face à ces accès applicatifs autonomes. ConnectWise a suspendu les connexions à Cloud Backup pour réinitialiser les composants compromis. Pour chaque organisation cliente, la mesure concrète consiste à désactiver l'application dans Microsoft Entra sans effacer le consentement préalable. Cette opération neutralise l'émission de nouveaux jetons tout en maintenant les configurations requises pour une remise en service ultérieure. Les jetons d'accès déjà délivrés demeurent actifs et valides jusqu'à 90 minutes après leur émission initiale par l'attaquant.
- 173 tenants Microsoft 365 compromis Huntress 17 octobre 2026
Les identifiants de l'application sont entre des mains hostiles.