Un identifiant ConnectWise compromis ouvre l'accès à des comptes Microsoft 365

Que sait-on exactement de cette campagne ?

ConnectWise Cloud Backup, anciennement connu sous le nom de SkyKick, est un service de sauvegarde et de restauration conçu pour les prestataires informatiques qui gèrent les boîtes mail et fichiers Microsoft 365 de leurs clients. Selon les informations relayées par la presse spécialisée, un identifiant appartenant à ce service aurait été compromis et utilisé par des acteurs malveillants pour se connecter à de nombreux environnements Microsoft 365 appartenant à des clients finaux.

Aucune source officielle consultée ne confirme pour l'instant le nombre précis de 173 tenants touchés, ni la date exacte de l'incident, ni l'identité des attaquants. Cette réserve compte : dans ce type d'affaire, les premiers chiffres publiés évoluent souvent au fil de l'enquête. Il convient donc de suivre les communications officielles de ConnectWise plutôt que de se fier à un chiffre figé.

Ce qui est en revanche bien documenté, c'est le type de campagnes qui s'appuient sur une identité compromise pour frapper large. Microsoft a par exemple détaillé une opération baptisée Storm-2949, menée pour exfiltrer des données depuis Microsoft 365, des hébergeurs de fichiers et des environnements Azure, à partir d'une seule identité compromise. Ce n'est pas le même dossier que celui de ConnectWise, mais le mécanisme — un accès volé qui se transforme en brèche à grande échelle — est structurellement identique.

Pourquoi l'identifiant d'un prestataire vaut autant qu'un passe-partout ?

Un outil de sauvegarde cloud pour MSP comme ConnectWise Cloud Backup a, par construction, besoin d'un accès large aux boîtes mail, à SharePoint et à OneDrive de chaque client géré. C'est ce qui lui permet de fonctionner : sans ces droits étendus, il ne pourrait pas sauvegarder les données.

Le revers de la médaille, c'est que si le compte du prestataire est compromis, l'attaquant hérite potentiellement des mêmes droits sur tous les tenants connectés. Un seul mot de passe volé, une seule session détournée, et ce n'est plus une entreprise qui est exposée, mais potentiellement l'ensemble du portefeuille clients du prestataire.

C'est exactement le schéma qu'évoque Microsoft dans son analyse d'un autre playbook d'intrusion : des attaquants qui se font passer pour le support technique d'un helpdesk inter-entreprises pour obtenir un accès à distance, puis qui l'utilisent pour se déplacer latéralement vers des actifs à haute valeur comme les contrôleurs de domaine, avant d'exfiltrer les données via des outils de transfert comme Rclone.

Comment ces accès sont-ils généralement volés ?

Les intrusions basées sur l'identité suivent presque toujours le même scénario : convaincre un humain, pas forcer un système. Microsoft a documenté plusieurs variantes de cette approche sur des campagnes actives.

• Abus de la réinitialisation de mot de passe en self-service (SSPR) : l'attaquant se fait passer pour le support IT interne, pousse la victime à valider une demande d'authentification multifacteur, réinitialise le mot de passe puis enregistre son propre appareil comme méthode d'authentification.
• Faux appels ou SMS sur le téléphone personnel de l'employé, prétextant une mise à jour urgente d'un passkey, du MFA ou du SSO, avec renvoi vers un faux site de connexion Microsoft.
• Hameçonnage de type adversary-in-the-middle (AiTM), qui capture identifiants et jetons de session en temps réel, ou attaques par device-code où la victime autorise elle-même l'accès sans s'en rendre compte.
• Usurpation via Microsoft Teams, parfois depuis un compte déjà compromis, ce qui rend la demande d'accès beaucoup plus crédible pour la victime.

Les domaines de phishing utilisés intègrent souvent le nom de l'organisation visée en sous-domaine et deviennent opérationnels en quelques heures seulement, ce qui laisse peu de temps pour réagir une fois la campagne détectée.

Quel impact pour les TPE/PME qui délèguent leur informatique ?

Beaucoup de petites structures du Lot-et-Garonne confient la sauvegarde de leur messagerie et de leurs fichiers à un prestataire externe, sans forcément savoir quels outils il utilise ni comment il protège ses propres accès. C'est précisément ce maillon qui est visé dans ce type d'affaire.

Dans la pratique, je vois encore des dirigeants qui n'ont jamais posé la question à leur prestataire : comment protège-t-il l'accès qu'il a sur nos données ? C'est pourtant la première chose à vérifier, avant même de parler de sauvegarde ou de plan de reprise.

Si votre structure n'a pas de service informatique interne, un informaticien à Agen peut vous aider à poser les bonnes questions à votre prestataire actuel, ou à auditer les accès externes dont dispose votre environnement Microsoft 365. Cela passe aussi par de l'infogérance qui intègre un suivi régulier des accès tiers, et pas seulement une maintenance ponctuelle.

Que faire concrètement cette semaine ?

Microsoft recommande plusieurs mesures de fond pour réduire la surface d'attaque liée à une identité compromise. Voici celles qui sont directement actionnables pour une petite structure :

1. Ne jamais valider une demande MFA ou de réinitialisation de mot de passe reçue par téléphone ou SMS que vous n'avez pas vous-même initiée, même si l'appelant se présente comme votre support IT.
2. Vérifier l'identité de l'appelant via un canal connu (rappel au numéro officiel de votre prestataire) avant toute action sur un accès ou un compte.
3. Isoler les comptes administrateurs Microsoft 365 et les sécuriser via des règles d'accès conditionnel, en évitant de les utiliser pour des tâches courantes.
4. Privilégier des méthodes d'authentification résistantes au phishing — clés de sécurité FIDO2/passkeys, Windows Hello for Business, Microsoft Authenticator en mode passkey — plutôt qu'un simple code reçu par SMS.
5. Demander à votre prestataire quelles protections il applique sur ses propres outils d'accès à distance et de sauvegarde avant de signer ou de renouveler un contrat.

Ces recommandations sont détaillées par Microsoft dans sa documentation technique sur la protection de Microsoft 365 contre les attaques basées sur l'identité, destinée en priorité aux équipes IT mais utile à connaître pour challenger un prestataire.

Toutes les méthodes d'authentification ne se valent pas

Cette hiérarchie n'est pas théorique : elle explique pourquoi Microsoft pousse ses clients, y compris les MSP, vers des méthodes d'authentification matérielles plutôt que vers un simple code temporaire.

À noter : ces recommandations techniques évoluent avec les menaces observées. Pour toute mise en œuvre, référez-vous à la documentation à jour de Microsoft Entra plutôt qu'à un article figé dans le temps.

Vous pouvez retrouver d'autres analyses de ce type sur notre blog, et les réponses aux questions les plus courantes sur la répartition des rôles entre votre prestataire et vous sur notre page FAQ.

Questions fréquentes

Sources

• Microsoft Security Blog — Storm-2949 turned compromised identity into cloud-wide breach
• Microsoft Security Blog — Passkey-themed social engineering leads to identity cloud compromise
• Microsoft Security Blog — Cross-tenant helpdesk impersonation data exfiltration
• Microsoft Learn — Protect Microsoft 365 from on-premises attacks
• ConnectWise Trust Center — Advisories
• The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants