Le 15 octobre 2026, un attaquant a utilisé la clé d’accès d’un service de sauvegarde Microsoft 365 pour entrer dans les messageries et les fichiers de plus de 160 organisations clientes. Il n’a volé aucun mot de passe d’utilisateur, et la double authentification n’a rien pu empêcher. Ce cas rappelle que chaque application à qui l’on ouvre ses données est une porte de plus à surveiller.
Ce qui s’est passé
ConnectWise Cloud Backup, anciennement SkyKick, est un service de sauvegarde vendu surtout aux infogérants, ces prestataires qui gèrent l’informatique de nombreuses PME. Pour sauvegarder les e-mails, les fichiers et les conversations Teams d’un client, l’application reçoit dans son environnement Microsoft 365 des droits très larges, accordés une fois pour toutes.
Selon la société de sécurité Huntress, le « secret » de cette application, l’équivalent de son mot de passe, est tombé entre de mauvaises mains. Le 15 octobre au matin, un programme l’a utilisé pour se connecter, l’un après l’autre, aux environnements des clients : 162, puis 173 environnements touchés parmi ceux que Huntress surveille (BleepingComputer, 17 octobre 2026 ; The Hacker News, 17 octobre 2026). Microsoft a confirmé l’activité. ConnectWise a coupé l’accès au service le 17 octobre et indique n’avoir aucun indice que les sauvegardes elles-mêmes aient été touchées (ConnectWise).
Comment l’attaque a fonctionné
L’attaquant n’a eu besoin de tromper personne. En se présentant comme l’application de sauvegarde, il a hérité de tout ce qu’elle avait le droit de faire : lire et modifier les messages et pièces jointes, les fichiers partagés, les conversations Teams. Comme aucune personne ne se connecte, la double authentification ne joue aucun rôle, et bloquer les comptes des salariés ne coupe pas cet accès.
Dans plusieurs environnements, d’autres applications du même éditeur se sont attribué des rôles d’administration. Dans au moins un cas, l’une d’elles s’est donné les pleins pouvoirs, puis a ajouté de nouvelles clés à deux autres applications de confiance, dont un outil de gestion de l’infogérant (Huntress, 16 octobre 2026). Un moyen de garder un accès même une fois la première porte fermée.
Un administrateur a été alerté dès le 15 octobre par un message de Microsoft : une application qu’il n’utilisait plus depuis des années venait de s’attribuer un rôle d’administrateur. Une application oubliée garde ses droits.
Ce qu’on ne sait pas encore
- Comment la clé a été volée.
- Combien d’organisations sont touchées au total, et si des données ont réellement été copiées. Sur neuf environnements analysés par une autre société, Todyl, seules des connexions ont été vues.
- Si des entreprises françaises sont concernées : nous n’avons trouvé aucune information à ce sujet.
Ce que ça change pour une PME
- Demandez à votre prestataire la liste des applications qui ont accès à votre Microsoft 365 (ou Google Workspace), avec ce qu’elles ont le droit de faire et qui les a autorisées.
- Supprimez celles qui ne servent plus et réduisez les droits des autres au strict nécessaire.
- Si vous utilisez ConnectWise Cloud Backup ou un ancien outil SkyKick, demandez une vérification : désactivation des applications concernées et recherche de nouvelles clés ajoutées depuis le 13 octobre.
- Vérifiez qu’une alerte part quand une application obtient un rôle d’administrateur ou une nouvelle clé.
Le regard de l’auditeur
Quatre questions à vous poser, ou à poser à votre prestataire. Elles s’inspirent de ce que vérifie un auditeur ISO 27001 :
- Avons-nous la liste des applications extérieures qui accèdent à nos e-mails et à nos fichiers, avec un responsable pour chacune ?
- Qui décide qu’une application reçoit des droits sur nos données, et quand ces droits ont-ils été revus pour la dernière fois ?
- Qui est prévenu si une application se donne un rôle d’administrateur ou reçoit une nouvelle clé, et en combien de temps ?
- Notre contrat avec notre infogérant prévoit-il qu’il nous informe vite d’un incident chez lui ou chez ses fournisseurs, et qu’il sache couper leurs accès ?
Pour les pros : notre analyse technique (mode opératoire, MITRE ATT&CK, questions d’audit ISO 27001).
Dossiers : Fournisseurs et sous-traitants · Mots de passe et accès volés
Cet article prolonge notre bulletin de veille du 18 octobre 2026.
Analyse préparée avec l’aide d’une intelligence artificielle à partir de sources publiques, sous la responsabilité de KyNeo. Malgré nos contrôles, des erreurs peuvent subsister : en cas de doute, référez-vous aux sources citées. Les informations non confirmées sont signalées comme telles.