ConnectWise coupe son service Cloud Backup après le détournement de l'identité de son application Microsoft 365

Le 17 octobre 2026, ConnectWise — l'éditeur de logiciels de Tampa, en Floride, dont les outils sont largement utilisés par les prestataires de services managés (MSP) — a coupé l'accès client à son service Cloud Backup (anciennement SkyKick Cloud Backup) après avoir confirmé que des attaquants avaient détourné l'identité de l'application au sein de Microsoft 365 et s'en étaient servis pour se connecter à des locataires clients. Comme l'intrus s'authentifiait en tant que l'application elle-même, et non en tant qu'utilisateur, l'authentification multifacteur et les politiques d'accès conditionnel ne s'appliquaient pas, et l'activité contournait les protections de connexion habituelles.

L'intervenant en réponse à incident Huntress, qui a donné l'alerte le premier, a indiqué qu'un identifiant d'API Microsoft 365 compromis, lié à l'application Cloud Backup, avait été utilisé pour demander des jetons Microsoft Graph dans les environnements clients à partir du 14 octobre environ, avec des connexions observées depuis une adresse IP d'hébergeur que Microsoft a confirmée le 15 octobre. Au 17 octobre, au moins 173 locataires Microsoft 365 partenaires et clients présentaient des connexions non autorisées confirmées — contre 162 la veille — et Huntress a averti que l'identifiant dérobé fonctionne contre tout locataire ayant consenti à l'application, de sorte que l'exposition réelle pourrait être plus vaste.

Confinement

ConnectWise a déclaré avoir désactivé sept identités d'application, révoqué les certificats utilisés pour les connexions de l'application concernée, invalidé les identifiants Cloud Backup partagés, puis mis Cloud Backup hors ligne pour les partenaires et les clients le temps de l'enquête. Une application connexe, Cloud Management for Microsoft Teams, a également été signalée dans le cadre de la réponse. L'entreprise a indiqué n'avoir aucune preuve d'un accès aux archives de sauvegarde des partenaires et que les données de sauvegarde existantes n'étaient pas affectées, sans pouvoir toutefois exclure d'autres activités non autorisées au sein des locataires actifs.

Une exposition de la chaîne d'approvisionnement

L'incident est un cas d'école d'exposition liée à la chaîne d'approvisionnement d'un tiers : une seule intégration de confiance, autorisée dans des centaines de locataires Microsoft 365 en aval, est devenue un passe-partout dès lors que son identifiant a été compromis. Au moment de la divulgation par ConnectWise, aucun acteur malveillant n'avait été publiquement identifié et l'entreprise n'avait pas expliqué comment l'identifiant avait été dérobé. Huntress a conseillé aux administrateurs de rechercher, dans le centre d'administration Microsoft Entra, l'application Cloud Backup (ID 506e08f9-6e9a-4da4-942b-a099a03644ae) ou « SkyKick » parmi les applications d'entreprise, et d'examiner les journaux de connexion à la recherche d'authentifications anormales de type application seule.