Qui peut entrer dans le Microsoft 365 de votre entreprise sans mot de passe ? Une application de sauvegarde piratée a ciblé plus de 2 250 organisations

Chaque application externe que votre entreprise a connectée à Microsoft 365, pour la sauvegarde, la signature électronique ou la gestion des e-mails, détient une clé qui ouvre vos messages et vos fichiers sans mot de passe ni code de vérification. C'est exactement ce que des attaquants ont exploité ce mois-ci : ils ont volé les identifiants des applications ConnectWise Cloud Backup (anciennement SkyKick), s'en sont servis pour cibler plus de 2 250 environnements Microsoft 365 dans le monde et ont parfois obtenu les droits d'administrateur général en moins de 3 heures. Faites trois choses aujourd'hui : demandez à votre responsable informatique la liste des applications connectées à votre compte et de leurs autorisations, désactivez celles que vous ne reconnaissez pas ou n'utilisez plus, et vérifiez qui a été ajouté au rôle d'administrateur général depuis le 1er octobre.

Que s'est-il passé exactement ?

Selon le rapport de sécurité de Microsoft publié le 21 octobre 2026, l'attaque est l'œuvre d'un groupe lié à la Chine que Microsoft suit sous le nom de Storm-0940, qui a utilisé ARTEX, un outil open source de test d'intrusion piloté par l'IA. Entre le 10 et le 14 octobre, le groupe a mené une campagne automatisée de devinette de mots de passe qui a produit plus de 151 000 connexions échouées sur 327 comptes dans 8 organisations, avec un pic le 11 octobre à environ 2 900 tentatives par minute.

Vint ensuite l'étape la plus dangereuse. Les attaquants ont obtenu les identifiants des applications ConnectWise Cloud Backup, un service qui sauvegarde les e-mails et fichiers Microsoft 365 et que de nombreuses entreprises utilisent via les prestataires informatiques qui gèrent leurs systèmes. Comme ces applications avaient déjà reçu le consentement d'accéder aux données des clients, les attaquants ont pu se connecter en tant qu'application et non en tant que salarié : ni mot de passe, ni code de double authentification. Une fois à l'intérieur, ils ont modifié des identifiants d'applications, se sont attribué le rôle d'administrateur général (Global Administrator) et ont exploré l'environnement via Microsoft Graph.

Comment ConnectWise a-t-il réagi ?

Selon la page officielle des avis du ConnectWise Trust Center, l'éditeur a découvert le problème le 14 octobre, l'a rendu public le 16 octobre et, le 17 octobre à 07 h 00 UTC, a désactivé sept identités d'applications liées au service, suspendant Cloud Backup ainsi que SaaS Security et Cloud Management. ConnectWise affirme que les archives de sauvegarde restent chiffrées et isolées, sans indice de compromission, et vise une remise en service progressive des partenaires à partir du lundi 26 octobre.

Le même avis contient une phrase que tout dirigeant devrait lire : désactiver ces connexions empêche toute nouvelle connexion par leur biais, mais n'annule pas les modifications déjà faites par l'attaquant dans votre environnement. Un compte administrateur ajouté par l'attaquant, ou une application dont il a changé les clés, reste en place tant que votre équipe ne le supprime pas elle-même.

Pourquoi cela vous concerne même sans ConnectWise

Ce n'est pas l'histoire d'un seul produit. Chaque compte Microsoft 365 contient une liste d'applications externes qu'un salarié ou un administrateur a approuvées un jour : un outil de signature, un agenda de prise de rendez-vous, un système de sauvegarde, un module d'IA qui lit les e-mails. Certaines disposent d'une autorisation à l'échelle de toute l'organisation, c'est-à-dire qu'elles peuvent lire les e-mails et fichiers de tous les salariés, et cette autorisation demeure longtemps après que tout le monde a oublié l'application. Si l'éditeur est piraté, sa clé devient celle de l'attaquant.

Il y a une deuxième leçon. Les entreprises qui dépendaient de Cloud Backup sont restées plus d'une semaine sans le service de sauvegarde qu'elles paient. Si un seul fournisseur détient votre unique copie et, en même temps, la clé de vos données actives, vous avez concentré deux risques au même endroit.

Cinq mesures à demander à votre équipe cette semaine

• Inventorier les applications connectées : dans le centre d'administration Microsoft Entra, ouvrez Enterprise apps puis All applications et examinez l'onglet Permissions, comme l'explique le guide officiel de Microsoft pour examiner les autorisations des applications. Commencez par les applications disposant d'une autorisation à l'échelle de l'organisation.
• Désactiver, ne pas supprimer : si vous trouvez des applications ConnectWise ou SkyKick, désactivez-les jusqu'à ce que l'éditeur publie des instructions pour votre service. Microsoft recommande de conserver l'application désactivée plutôt que de la supprimer, afin de ne pas perdre les traces utiles à l'enquête.
• Revoir les rôles d'administration : demandez la liste de toutes les personnes ayant le rôle d'administrateur général et de tout changement depuis le 1er octobre. Vous devez connaître chaque nom.
• Vérifier les journaux : examinez les journaux de connexion et d'audit depuis au moins le 1er octobre et recherchez une activité provenant de 144.172.64.99, 144.172.64.60 et 144.172.64.128, les adresses publiées par ConnectWise. Une correspondance ne prouve pas à elle seule une compromission, mais justifie une enquête.
• Mettre fin aux approbations à la légère : activez un circuit de consentement administrateur pour qu'aucun salarié ne puisse donner à une nouvelle application l'accès aux données de l'entreprise en un clic, comme l'explique le guide de Microsoft sur la configuration du consentement des utilisateurs.

Si vous avez lu notre article sur la version piratée de LiteLLM, le schéma est le même : l'attaquant ne force pas votre porte, il entre par celle d'un fournisseur de confiance. Et si cet incident vous fait repenser vos sauvegardes, consultez notre guide sur la sauvegarde et la reprise après sinistre.

Le regard d'Origami

Les attaquants n'ont eu besoin ni d'une faille chez Microsoft ni d'un salarié piégé : ils ont utilisé une confiance que les entreprises avaient elles-mêmes accordée à une application externe, puis oubliée. C'est pourquoi, chez Origami, nous traitons chaque intégration que nous construisons avec Microsoft 365 ou toute plateforme cloud comme une autorisation qui exige une raison, un responsable et une date de revue : le minimum d'accès nécessaire, des clés renouvelées et une trace claire de ce que l'application fait au nom de votre entreprise. Si vous souhaitez faire examiner les applications connectées aux comptes de votre entreprise, ou disposer d'une intégration qui ne détient pas plus que nécessaire, contactez-nous.

Sources

• Microsoft Security Blog : Storm-0940 uses ARTEX in ConnectWise supply chain compromise, 21 octobre 2026
• ConnectWise Trust Center : avis d'interruption du service Cloud Backup et mises à jour jusqu'au 24 octobre 2026
• Microsoft Learn : Review permissions granted to enterprise applications in Microsoft Entra
• Microsoft Learn : Configure how users consent to applications