L’affaire en bref
L’incident ConnectWise est une alerte de sécurité de la chaîne d’approvisionnement avec un accélérateur d’IA. Des attaquants que Microsoft associe au groupe Storm-0940, aligné sur les intérêts de l’État chinois, auraient utilisé ARTEX, un framework open source de test d’intrusion agentique, pour automatiser la reconnaissance, les attaques par mots de passe et l’abus de permissions cloud après un accès non autorisé à des identifiants applicatifs liés à ConnectWise Cloud Backup .
La nuance est essentielle. Les titres parlent de « milliers » d’entreprises, et l’échelle est bien réelle. Mais la lecture la plus prudente du dossier est que plus de 2 250 tenants Microsoft 365 ont été ciblés par des tentatives de connexion ou des accès applicatifs, sans que les informations publiques ne prouvent que chacun de ces tenants ait subi une compromission complète ou une exfiltration de données . Ce n’est donc pas seulement une histoire de mot de passe faible. C’est un canal fournisseur de confiance transformé en amplificateur d’attaque.
Ce qui se serait passé
ConnectWise Cloud Backup, anciennement SkyKick, s’intègre aux environnements Microsoft 365 afin de sauvegarder des boîtes mail, des fichiers et d’autres données cloud. Pour fonctionner, ce type de service doit disposer d’identités applicatives et de permissions. C’est précisément ce qui rend le scénario dangereux: si l’identité du fournisseur est détournée, l’attaquant hérite d’une partie de la confiance déjà accordée par les clients.
D’après les informations publiées à partir du renseignement de Microsoft, Storm-0940 aurait obtenu ou abusé d’identifiants applicatifs ConnectWise afin de s’authentifier dans des environnements clients sans connexion interactive d’un utilisateur humain . Les contrôles classiques, centrés sur un salarié qui se connecte depuis un appareil ou un pays inhabituel, peuvent donc manquer une partie du problème. Un service principal peut ressembler à une application métier légitime jusqu’au moment où il ajoute des identifiants, énumère des ressources ou cherche à obtenir davantage de privilèges.
L’élément IA change surtout la cadence. ARTEX est décrit comme un framework de test d’intrusion agentique capable d’automatiser plusieurs étapes d’une intrusion, dont le scan, la reconnaissance, le password spraying et l’abus d’applications OAuth . Dans ce cas, les chiffres rapportés atteignent plus de 2 250 tenants cloud, avec une activité estimée autour de 2 900 à 3 000 tentatives de connexion par minute , . Pour les défenseurs, c’est l’équivalent informatique d’un « warp pipe »: une route de confiance, de nombreux clients en aval, et très peu de temps pour réagir.
Pourquoi les chiffres doivent être maniés avec précision
L’expression « des milliers d’entreprises touchées » décrit bien le choc opérationnel, mais elle ne doit pas effacer les distinctions. TechCrunch a rapporté que des pirates chinois avaient espionné des milliers d’entreprises après la compromission de ConnectWise, en s’appuyant sur le récit de Microsoft selon lequel des agents d’IA avaient été utilisés contre environ 2 250 organisations à un rythme proche de 3 000 tentatives de connexion par minute . D’autres analyses de sécurité insistent sur une interprétation plus stricte: le chiffre de 2 250 désigne des tenants ciblés ou atteints par des tentatives d’authentification, et non un total confirmé d’entreprises dont les données auraient été volées .
Cette prudence ne minimise pas l’incident. Une tentative d’accès via une application de confiance constitue déjà une exposition grave, car elle contourne certaines hypothèses de la surveillance d’identité. Une organisation peut avoir une MFA robuste pour ses utilisateurs, des règles de conformité des appareils et des politiques d’accès conditionnel, tout en restant vulnérable si une application tierce très privilégiée est détournée. Dans plusieurs attaques liées à la campagne ARTEX plus large, des rapports indiquent que les attaquants ont atteint un accès cloud privilégié en moins de trois heures après le ciblage initial .
Un autre ensemble de chiffres montre à la fois la puissance et les limites de l’automatisation. Des informations basées sur les constats de Microsoft décrivent une campagne antérieure de password spraying contre 327 comptes dans huit organisations, avec plus de 151 000 échecs de connexion et aucune authentification réussie dans cette campagne précise . Ce n’est pas le portrait d’une IA omnisciente qui bat toutes les défenses en silence. C’est une automatisation massive, infatigable, qui teste très vite de nombreuses portes. Les verrouillages de comptes, les mots de passe solides et la MFA résistante au phishing restent utiles. Le problème est que l’attaquant peut désormais secouer des milliers de poignées pendant que les équipes de sécurité traitent encore la première alerte.
La réponse de ConnectWise
ConnectWise indique avoir pris des mesures de protection après l’accès non autorisé à des identités applicatives associées à Cloud Backup, notamment la révocation de certificats utilisés pour les connexions applicatives concernées et la suspension de l’accès à Cloud Backup pendant l’enquête et la restauration . Les mises à jour de statut de l’entreprise indiquent aussi que les identifiants Cloud Backup partagés précédemment ne sont plus valides et que les archives de sauvegarde existantes restent chiffrées, isolées et préservées, sans preuve d’accès à ces archives .
C’est rassurant, mais seulement en partie. ConnectWise précise également que la configuration de Cloud Backup ne lui donne pas une visibilité complète sur les environnements Microsoft 365 des partenaires et clients en aval . Autrement dit, même si l’environnement du fournisseur est contenu, chaque client ou prestataire managé doit examiner son propre tenant. Restaurer le service de sauvegarde ne signifie pas nécessairement expulser un intrus de tous les environnements cloud touchés.
Au 23 octobre, ConnectWise décrivait encore la restauration comme progressive et dépendante de validations de sécurité, avec un accès à la restauration des sauvegardes attendu avant le réenrôlement complet des services . L’entreprise demandait aussi aux partenaires de garder les connexions applicatives concernées désactivées jusqu’à la publication d’instructions formelles adaptées à leur service . C’est la bonne approche: reconnecter trop tôt une intégration de confiance peut recréer le même rayon d’explosion.
Une crise de chaîne d’approvisionnement avant tout
L’angle IA attire l’attention, mais le problème de fond est la concentration de confiance. Les plateformes de services managés, les outils de sauvegarde et les systèmes d’administration à distance occupent des positions privilégiées parce que leur rôle est d’administrer, protéger ou restaurer d’autres systèmes. Lorsqu’ils fonctionnent normalement, ils réduisent la charge opérationnelle. Lorsqu’ils sont compromis, ils deviennent des multiplicateurs d’échelle.
Le cas ConnectWise illustre un schéma déjà connu: les attaquants n’ont pas besoin de piéger chaque client final s’ils peuvent compromettre un intermédiaire de confiance. La nouveauté est que les agents d’IA peuvent compresser le travail de reconnaissance, de test d’identifiants et d’actions post-accès en minutes ou en heures. SC Media rapporte qu’ARTEX peut coordonner plusieurs agents à différentes étapes d’une attaque avec relativement peu d’intervention humaine, ce qui transforme l’opérateur en directeur de campagne plutôt qu’en simple exécutant au clavier .
Pour les MSP, le signal est particulièrement fort. Un prestataire managé est à la fois client de fournisseurs et fournisseur de ses propres clients. S’il connecte des outils de sauvegarde, d’administration ou de sécurité à des centaines de tenants, chaque consentement applicatif devient une composante d’un risque partagé. L’ancienne question était: « Faisons-nous confiance à ce fournisseur? » La nouvelle est: « Si l’identité applicative de ce fournisseur est volée à 2 h du matin, en combien de temps pouvons-nous voir, limiter et révoquer ce qu’elle peut faire? »
Les priorités défensives
La première priorité est de préserver les preuves d’identité. Les équipes ne devraient pas supprimer immédiatement les applications suspectes avant d’avoir collecté les journaux de connexion, les journaux d’audit, les permissions applicatives, les ajouts d’identifiants et l’historique des attributions de rôles. Supprimer d’abord peut effacer la carte nécessaire pour comprendre si l’accès s’est transformé en persistance.
Ensuite, les défenseurs doivent examiner les connexions de service principals et l’activité Microsoft Graph liées à ConnectWise Cloud Backup, aux anciennes intégrations SkyKick et aux identifiants applicatifs listés dans les consignes du fournisseur. Il faut rechercher les connexions réussies et échouées, les plages IP inconnues, les nouveaux secrets ajoutés à des applications, les nouveaux propriétaires, les nouveaux consentements, les attributions de rôles et toute tentative d’une application de s’accorder elle-même des privilèges élevés.
Enfin, la détection doit rattraper la vitesse de l’attaque. Un analyste humain qui ouvre un ticket le lendemain matin ne peut pas rivaliser avec des milliers de tentatives par minute. Les organisations ont besoin d’alertes automatisées sur les connexions applicatives inhabituelles, les appels Graph anormaux, les changements d’identifiants de service principals et les élévations soudaines de privilèges. ConnectWise ne prouve pas que l’IA rend les attaquants invincibles. L’incident montre plutôt qu’un canal de confiance combiné à des outils autonomes peut transformer quelques minutes d’exposition en milliers de décisions de sécurité en aval.
Le fond du sujet
ConnectWise est le canal de cette affaire, mais l’avertissement vaut pour tout éditeur dont les logiciels disposent d’un accès privilégié aux environnements clients. Les agents d’IA n’ont pas inventé le risque de chaîne d’approvisionnement. Ils l’ont rendu plus rapide, moins coûteux et plus facile à répéter. La réponse pratique tient en quelques mots: segmentation, rotation des identifiants, privilège minimal, conservation des logs et détection automatisée des identités applicatives autant que des utilisateurs humains.
Le warp pipe de l’entreprise a été trouvé. Les défenseurs doivent maintenant le refermer à vitesse machine.
Commentaires
Sois le premier à commenter.