Le 15 octobre 2026, un acteur non identifié a utilisé le secret de l’application Entra ID de ConnectWise Cloud Backup (ex-SkyKick) pour obtenir des jetons Microsoft Graph dans les environnements des clients, avec les permissions déjà consenties. Cette analyse s’adresse aux auditeurs, RSSI et responsables sécurité : mode opératoire, correspondance avec MITRE ATT&CK, détection, questions d’audit ISO 27001 et pistes de sensibilisation. Elle repose sur les publications de Huntress, de Todyl, de Microsoft et de ConnectWise, relayées par BleepingComputer et The Hacker News : la façon dont le secret a été obtenu et l’ampleur réelle de l’accès aux données ne sont pas publiées.
Pour une lecture orientée dirigeant, voir notre décryptage « Sauvegarde Microsoft 365 : quand la clé du prestataire ouvre la porte de ses clients ».
Contexte
- Service : ConnectWise Cloud Backup, sauvegarde et restauration des données Microsoft 365 et Google Workspace, destinée aux infogérants (MSP) et équipes IT. Pour Microsoft 365, le service repose sur une application multi-locataire consentie dans l’Entra ID de chaque client (principal de service), avec des permissions applicatives étendues : messagerie (y compris via Exchange Web Services), OneDrive, SharePoint, Teams et annuaire (BleepingComputer, 17 octobre 2026). D’autres applications de l’éditeur (« Cloud Management » pour Exchange Online, Teams, Graph, SharePoint Online, Partner Center) sont souvent consenties en parallèle ; dans les environnements anciens, elles peuvent apparaître sous le nom SkyKick.
- Ampleur : Huntress a d’abord identifié au moins 162 environnements compromis, puis 173 avec connexions non autorisées confirmées (The Hacker News, 17 octobre 2026). Le secret fonctionne dans tout environnement où l’application est consentie. Aucun total global publié.
- Chronologie : tentatives scriptées les 13 et 14 octobre depuis la même infrastructure, dont une pulvérisation de mots de passe contre quatre environnements de cabinets d’avocats, sans connexion d’utilisateur réussie observée ; obtention de jetons Graph le 15 octobre entre 6 h 13 et 8 h 34 UTC ; signalements d’administrateurs le 16 octobre ; publication de Huntress le 16 octobre ; coupure de l’accès applicatif annoncée par ConnectWise le 17 octobre à 5 h 01 UTC, sans date de rétablissement (ConnectWise, avis de sécurité).
- Attribution : aucune. Huntress, Microsoft et Todyl relient l’activité à une même source externe.
- Position de l’éditeur : aucun indicateur, à ce jour, de compromission des données de sauvegarde des partenaires ; enquête et remédiation en cours.
Mode opératoire : ce qui est documenté et ce qui ne l’est pas
| Étape | Ce qui est rapporté | Correspondance MITRE ATT&CK (notre lecture) |
|---|---|---|
| Accès initial | Authentification directe comme l’application Cloud Backup, avec son secret, par un outillage propre à l’attaquant ; obtention de jetons portant les permissions applicatives déjà consenties dans chaque environnement. Aucune connexion d’utilisateur, donc aucune MFA ni accès conditionnel basé sur l’utilisateur. Origine du secret non publiée. | T1199 Trusted Relationship ; T1078.004 Valid Accounts: Cloud Accounts |
| Préparation | Les 13 et 14 octobre, tentatives scriptées depuis la même source, dont une pulvérisation de mots de passe contre quatre environnements, sans succès observé. | T1110.003 Password Spraying |
| Exécution à grande échelle | Connexions espacées de quelques secondes, dans l’ordre trié des identifiants d’environnement : un script travaille à partir d’une liste de cibles (Huntress). Plusieurs agents utilisateurs de bibliothèques HTTP de scripts relevés. | T1059.006 Python (outillage, notre lecture) |
| Reconnaissance | Microsoft observe une reconnaissance via l’API Graph. Certaines lectures d’annuaire via Graph ne laissent pas de trace d’audit (Huntress). | T1087.004 Account Discovery: Cloud Account ; T1069.003 Permission Groups Discovery: Cloud Groups |
| Élévation de privilèges | Dans près de 50 environnements suivis par Huntress, des applications Cloud Management de l’éditeur se sont attribué des rôles d’annuaire, principalement Exchange Administrator. Dans un environnement, l’application Cloud Management pour Teams s’est attribué le rôle d’administrateur global. Microsoft estime que l’attaquant a probablement abusé de permissions existantes, dont une permission de lecture-écriture globale de l’annuaire. | T1098.003 Additional Cloud Roles |
| Persistance | Dans ce même environnement, ajout en cinq minutes environ de nouveaux secrets à deux applications privilégiées : un outil de gestion de l’infogérant (souvent consenti chez ses propres clients, d’où un risque de rebond) et l’application de l’éditeur de sécurité. Microsoft signale aussi une persistance et des tentatives d’ajout d’identifiants. | T1098.001 Additional Cloud Credentials |
| Collecte | Capacité de lecture et d’écriture sur les messages et pièces jointes, fichiers OneDrive et SharePoint, conversations Teams, et de restauration de données (Todyl). Une collecte effective n’est pas démontrée publiquement. Sur neuf environnements analysés par Todyl : connexions uniquement, sans création de compte, ajout de permission ni persistance via l’application de sauvegarde. | T1114.002 Remote Email Collection ; T1530 Data from Cloud Storage (capacité) |
| Exfiltration, impact | Non documentés publiquement. | Non documenté |
La colonne MITRE est une lecture de notre part, à partir des éléments publiés.
Faits techniques connus
- La MFA est hors jeu par construction. Le flux d’authentification applicatif (secret client) ne fait intervenir aucun utilisateur. Seuls des contrôles portant sur les identités de charge de travail (restrictions par emplacement, détection de risque sur les principaux de service) peuvent s’appliquer, s’ils sont en place.
- Révoquer les sessions des utilisateurs ne coupe rien. Désactiver l’application dans un environnement bloque l’émission de nouveaux jetons, mais ceux déjà émis restent valables jusqu’à 90 minutes ; tout environnement où l’application reste active est exposé tant que l’éditeur n’a pas renouvelé le secret (Todyl, cité par The Hacker News).
- La coupure côté éditeur ne nettoie pas les environnements. Les secrets ajoutés à d’autres applications pendant l’intrusion restent valides ; il faut les rechercher et les supprimer (Huntress).
- Applications dormantes. Un administrateur rapporte une alerte PIM le 15 octobre pour une application SkyKick qui s’attribuait Exchange Administrator, alors qu’il n’utilisait plus le service depuis des années : un consentement jamais retiré conserve ses permissions.
Ce qu’on ne sait pas
Comment le secret a été obtenu, le nombre total d’environnements concernés, la nature des données effectivement lues ou copiées, et si d’autres applications de l’éditeur ont vu leurs propres secrets compromis. Nous ne spéculons pas sur ces points.
Détection : ce qui a fonctionné, et pourquoi ce type d’accès passe sous les radars
- Ce qui a fonctionné : les alertes de Privileged Identity Management sur des attributions de rôles inattendues ; l’analyse, par Huntress, Todyl et Microsoft, des connexions de principaux de service provenant d’une source externe, alors que le trafic normal de l’application provient du réseau interne d’Azure ; les échanges entre administrateurs d’infogérants dès le 16 octobre.
- Pourquoi ça passe sous les radars : les connexions applicatives figurent dans un onglet distinct des journaux de connexion Entra (connexions de principaux de service), rarement surveillé ; aucune alerte « connexion utilisateur inhabituelle » ne se déclenche ; une partie des lectures Graph n’est pas auditée ; l’activité est faite au nom d’un fournisseur de confiance.
- Ce qui reste observable (description générique) : connexions de principaux de service des applications ConnectWise ou SkyKick depuis des adresses hors des plages Microsoft et Azure attendues ; attribution d’un rôle d’annuaire à une application ; ajout de secrets ou de certificats à des applications depuis le 13 octobre ; activité Graph inhabituelle si les journaux d’activité Graph sont activés. Les identifiants d’applications et les indicateurs publiés sont à récupérer à la source (avis ConnectWise, blog Huntress).
- Réponse recommandée par les sources : désactiver les applications concernées jusqu’à confirmation du renouvellement des secrets ; activer les journaux d’activité Microsoft Graph ; revoir les secrets et certificats de toutes les applications et supprimer ceux ajoutés sans justification ; contrôler les journaux d’audit Entra pour les ajouts de rôles ; revoir les consentements OAuth et les autres intégrations Cloud Management.
Questions d’audit ISO 27001:2022
- A.5.19, A.5.21 et A.5.23 (relations fournisseurs, chaîne d’approvisionnement TIC, utilisation de services en nuage) : « Disposez-vous d’un inventaire des applications tierces consenties dans vos locataires Microsoft 365 / Google Workspace, avec permissions, propriétaire, fournisseur et date de dernier usage ? Comment un consentement est-il approuvé, revu et retiré, y compris à la fin d’un contrat ? »
- A.5.15, A.5.18 et A.8.2 (contrôle d’accès, droits d’accès, droits d’accès privilégiés) : « Les permissions applicatives accordées sont-elles limitées au besoin du service ? Une application peut-elle s’attribuer ou recevoir un rôle d’administration de l’annuaire sans approbation ? Les identités de charge de travail sont-elles couvertes par vos revues d’accès ? »
- A.8.15 et A.8.16 (journalisation, activités de surveillance) : « Les connexions de principaux de service, les ajouts de secrets ou certificats et les attributions de rôles sont-ils journalisés, conservés et surveillés avec alerte ? Les journaux d’activité Graph sont-ils activés et intégrés à votre supervision ? »
- A.5.20, A.5.22 et A.5.24 (accords avec les fournisseurs, surveillance des services fournisseurs, préparation de la gestion des incidents) : « Vos contrats avec l’infogérant et les éditeurs SaaS fixent-ils un délai de notification d’incident et les modalités de révocation de leurs accès ? Votre plan de réponse couvre-t-il la compromission d’un fournisseur disposant d’un accès privilégié, avec la recherche de persistance après la coupure ? »
- A.5.7 (renseignement sur les menaces) : « Comment êtes-vous informé d’une compromission chez un fournisseur (abonnements aux avis, échanges avec l’infogérant), et en combien de temps une décision de désactivation peut-elle être prise ? »
Pistes de sensibilisation
- Pour les équipes IT et les infogérants : atelier « Les comptes qui ne dorment jamais ». Inventorier les applications consenties d’un locataire, leurs permissions et leur dernier usage ; montrer où se lisent les connexions des principaux de service et pourquoi révoquer les sessions des utilisateurs ne suffit pas ; rejouer la réponse : désactivation, chasse aux secrets ajoutés, revue des rôles.
- Pour les dirigeants : « Qui a les clés de votre messagerie ? ». En dix minutes, demander au prestataire la liste des applications qui accèdent aux e-mails et fichiers, et décider pour chacune : on garde, on réduit, on supprime.
À lire aussi : notre décryptage pour les dirigeants, « Sauvegarde Microsoft 365 : quand la clé du prestataire ouvre la porte de ses clients », et le bulletin de veille du 18 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.