Des acteurs malveillants non identifiés ont utilisé un identifiant compromis de ConnectWise Cloud Backup pour accéder sans autorisation à 173 tenants Microsoft 365 de partenaires et de clients, selon un article de The Hacker News citant Huntress.
Huntress a observé l'obtention de jetons Microsoft Graph le 15 octobre 2026, entre 06 h 13 et 08 h 34 UTC, depuis l'adresse 144.172.64[.]128. Le chiffre de 173 correspond à des tenants ayant fait l'objet de connexions non autorisées confirmées, et non à des utilisateurs, à des clients ou à des enregistrements exposés.
ConnectWise Cloud Backup, anciennement SkyKick, est utilisé par des fournisseurs de services managés (MSP) pour protéger les données Microsoft 365 et Google Workspace. Dans les environnements Microsoft 365, les permissions consenties par l'application peuvent offrir un large accès aux boîtes aux lettres, à OneDrive, à SharePoint, à Teams et aux informations de l'annuaire.
Selon Huntress, toute organisation sur laquelle l'application reste installée est potentiellement à portée de cet identifiant. Il s'agit d'une évaluation de l'exposition : cela ne signifie pas que chacun de ces tenants a été consulté.
Les attaquants ont hérité des permissions de l'application de sauvegarde
Selon Huntress, les attaquants se sont authentifiés auprès de l'application Cloud Backup avec leurs propres outils et ont demandé des jetons portant des permissions déjà accordées au service. Les tenants visés ont été consultés dans l'ordre trié des GUID, à quelques secondes d'intervalle seulement, ce qui suggère un processus automatisé fonctionnant à partir d'une liste de cibles préparée.
Todyl a signalé séparément avoir détecté une partie non autorisée s'authentifiant auprès de Microsoft Graph en tant qu'application ConnectWise Cloud Backup. Selon l'entreprise, le consentement hérité pourrait permettre des opérations de lecture et d'écriture portant sur :
- les e-mails et leurs pièces jointes, y compris l'accès complet aux boîtes aux lettres via Exchange Web Services
- les fichiers OneDrive et SharePoint
- les conversations Microsoft Teams
- les fonctions de restauration des données
Selon Todyl, la révocation des sessions utilisateur ordinaires ne met pas fin à cet accès au niveau de l'application. La désactivation de l'application l'empêche d'obtenir de nouveaux jetons dans ce tenant, mais les jetons déjà émis peuvent rester valides jusqu'à 90 minutes. Si l'application reste activée, l'exposition se poursuit jusqu'à ce que ConnectWise remplace l'identifiant compromis.
La même adresse IP source a également mené une attaque par password spraying contre quatre tenants de cabinets d'avocats, les 13 et 14 octobre 2026. Huntress indique que sa télémétrie n'a montré aucune connexion utilisateur réussie résultant de ces tentatives.
Un tenant a révélé une élévation de privilèges supplémentaire
Dans au moins un tenant partenaire, Huntress a observé une autre application, l'application ConnectWise Cloud Management pour Microsoft Teams, dont l'ID d'application est 24205314-2b89-4e07-a2a4-579e898a5640, qui s'est ajoutée elle-même au rôle Administrateur global.
L'application a ensuite exécuté un script Python identifié par l'user agent Python-urllib/3.12. Ce script a ajouté de nouveaux secrets client à deux autres applications : une application de gestion MSP et l'application de la plateforme Huntress Security.
Cela peut étendre les conséquences au-delà de l'identifiant initial de Cloud Backup. Huntress explique que les applications de gestion MSP sont souvent consenties dans les tenants clients, et qu'un identifiant ajouté à une application de sécurité hérite de toutes les opérations que cet outil est autorisé à effectuer.
L'impact exact variera donc selon les permissions accordées dans chaque tenant.
ConnectWise ferme l'accès aux applications
ConnectWise a fermé l'accès à l'application Cloud Backup jusqu'à nouvel ordre. L'entreprise indique n'avoir trouvé aucun élément indiquant que les données de sauvegarde partenaires de Cloud Backup avaient été compromises.
Cette déclaration se limite aux données de sauvegarde. Elle ne remet pas en cause les constats de Huntress concernant les connexions non autorisées à des tenants Microsoft 365 via l'identifiant de l'application.
Ce que les administrateurs doivent vérifier
ConnectWise a identifié l'ID d'application Cloud Backup suivant ainsi que l'adresse suspecte :
- ID d'application Cloud Backup :
506e08f9-6e9a-4da4-942b-a099a03644ae - IP suspecte :
144.172.64[.]128
Les administrateurs peuvent consulter les enregistrements concernés dans :
Microsoft Entra Admin Center → Monitoring → Sign-in logs → Service principal sign-ins
Les journaux doivent être filtrés sur l'ID d'application 506e08f9-6e9a-4da4-942b-a099a03644ae. La vue par défaut User sign-ins n'affiche pas l'activité des principaux de service nécessaire à cette vérification.
ConnectWise indique que le trafic sortant normal de Cloud Backup utilise des adresses IPv6 privées d'Azure. Toute authentification provenant d'adresses situées en dehors des plages attendues de Microsoft ou d'Azure mérite un examen.
Huntress recommande aux organisations de :
- Désactiver l'application jusqu'à ce que ConnectWise confirme que tous les identifiants ont été réinitialisés.
- Activer les journaux d'activité de Microsoft Graph.
- Auditer les applications pour repérer les nouveaux identifiants ajoutés depuis le 13 octobre 2026.
- Examiner les journaux d'audit Entra pour détecter les applications ConnectWise ou SkyKick qui s'ajoutent elles-mêmes à des rôles de l'annuaire.
- Rechercher l'ID d'application
24205314-2b89-4e07-a2a4-579e898a5640et l'user agentPython-urllib/3.12.
Certaines activités, notamment certaines lectures de l'annuaire via Microsoft Graph, peuvent ne générer aucune trace d'audit, prévient Huntress. Les administrateurs ne doivent donc pas considérer l'absence d'entrées de journal correspondantes comme la preuve qu'un tenant ayant donné son consentement était inaccessible.
