Selon Microsoft, l’IA a accéléré une méthode connue contre ConnectWise

Pour lire les données Microsoft 365 de leurs victimes, les attaquants de ConnectWise n’ont eu à forcer aucun mot de passe d’employé : ils se sont présentés sous l’identité d’un logiciel de sauvegarde que ces organisations avaient elles-mêmes autorisé. Dans son billet du 21 octobre, Microsoft Threat Intelligence attribue l’opération à Storm-0940, qu’il décrit comme un acteur « aligné sur l’État chinois », et affirme qu’il a confié une partie du travail à ARTEX, un outil d’agents d’IA. Le piratage, rendu public à la mi-octobre, change ainsi de dimension : ce n’est plus seulement l’incident d’un éditeur, mais une attaque par un fournisseur (dite « de la chaîne d’approvisionnement ») menée, selon Microsoft, « à la vitesse d’une machine ». L’entreprise précise qu’aucune faille de ses propres produits n’est en cause.

Une clé, des centaines de portes

ConnectWise vend des logiciels aux prestataires de services informatiques (les sociétés qui gèrent à distance l’informatique de PME, d’associations ou de collectivités). Son service Cloud Backup, ex-SkyKick, sauvegarde les messageries, fichiers et conversations Teams des clients de ces prestataires. Pour cela, chaque client a autorisé dans son espace Microsoft 365 (un « locataire », dans le vocabulaire de Microsoft) une application dite multilocataire : un seul programme, enregistré chez ConnectWise, qui détient des droits dans des milliers d’espaces à la fois.

C’est le secret d’authentification de cette application que les attaquants ont obtenu. Comme l’a résumé Huntress, société de sécurité qui a documenté dès le 16 octobre les connexions frauduleuses, « l’identifiant fonctionne contre chaque locataire où l’application a reçu une autorisation ». Les intrus se connectaient en tant qu’application, sans session d’utilisateur : ni double authentification à franchir, ni alerte de connexion inhabituelle sur un compte humain.

Une fois dedans, ils ont utilisé Microsoft Graph, l’interface qui donne accès par programme aux courriels, fichiers et annuaires d’un espace Microsoft 365. Microsoft a observé, dans « plusieurs » environnements, des repérages, des ajouts d’identifiants à des applications et des tentatives de modifier des droits. Huntress décrit un cas où une seconde application de ConnectWise, liée à Teams, s’est attribuée le rôle d’administrateur général, puis a ajouté de nouveaux secrets à deux autres applications du client, valables jusqu’en 2028 : une porte dérobée qui survit à la désactivation de l’application d’origine.

Combien de victimes ? Aucune source ne le dit. Microsoft parle de plus de 2 250 locataires visés par des tentatives de connexion. Huntress, qui ne voit que son propre parc, a compté 162 locataires avec des connexions non autorisées confirmées au 16 octobre à 19 h (UTC), puis près de 1 000 locataires touchés par des tentatives, dont plus de 300 réussies. C’est ce dernier chiffre qu’il faut retenir comme ordre de grandeur minimal des accès réels ; il ne dit rien des données copiées. Microsoft prévient qu’une connexion réussie « n’indique pas nécessairement » un vol de données, et Huntress rappelle que les lectures d’annuaire par Graph ne laissent aucune trace dans le journal d’audit.

Ce que les agents ont changé : le tempo

Rien, dans la méthode, n’est neuf. Selon Microsoft, Storm-0940, actif depuis 2021, entre habituellement par la pulvérisation de mots de passe (essayer quelques mots de passe courants sur un grand nombre de comptes) ou par des failles d’applications exposées sur Internet, et s’installe durablement en ajoutant des identifiants à des applications déjà autorisées. Exactement ce qui a été observé ici.

La nouveauté tient à la cadence. Microsoft dit avoir constaté, dans plusieurs attaques pilotées par ARTEX, moins de trois heures entre le choix d’une cible et l’obtention d’un accès privilégié à son infrastructure en nuage. Ces campagnes produisent beaucoup de bruit et peuvent déclencher des alertes, note l’entreprise, mais leur rapidité « laisse très peu de temps aux défenseurs » pour réagir de façon coordonnée. Des agents, ajoute-t-elle, travaillent la nuit, le week-end, et explorent plusieurs chemins d’intrusion en même temps.

Le billet relativise aussi l’efficacité de l’outil. Entre le 10 et le 14 octobre, une campagne de pulvérisation depuis la même infrastructure a visé 327 comptes de huit organisations, avec un pic de 2 900 échecs par minute le 11 octobre : sur plus de 151 000 tentatives, aucune n’a abouti, et près de 98 % ont buté sur un verrouillage de compte. « La majorité des tentatives n’a pas réussi », écrit Microsoft, tout en signalant des accès privilégiés durables obtenus dans « de nombreuses organisations ». Ici, ce qui a payé, c’est la clé volée chez ConnectWise, que les agents ont exploitée à grande échelle.

ARTEX, un outil de test retiré par son auteur

ARTEX est un cadriciel (un ensemble logiciel prêt à l’emploi) de test d’intrusion : des agents s’appuyant sur un grand modèle de langage, au choix de l’utilisateur, enchaînent repérage, recherche de failles et exploitation avec peu d’intervention humaine. Selon une note de la Cloud Security Alliance du 9 octobre, il a été publié le 26 juillet 2026 sous licence libre AGPL-3.0 par un développeur se faisant appeler Autumn-27, qui l’a retiré de GitHub le 8 octobre après son usage contre des établissements financiers sud-coréens. Le développeur a déclaré au média coréen Digital Today qu’ARTEX visait à aider les organisations à tester « des actifs autorisés » et qu’il cessait toute mise à jour. Microsoft dit avoir repéré des utilisateurs malveillants d’ARTEX « dans plusieurs régions du monde » : retirer le dépôt n’a pas retiré les copies. En Inde, des agents de test avaient déjà exploité des failles banales sans être repérés.

Une attribution signée Microsoft

L’attribution à Storm-0940 repose sur la seule analyse de Microsoft, qui ne lui connaît aucun autre nom chez ses concurrents. Le lien technique avancé est une adresse IP (144.172.64.99) présente à la fois dans la campagne de pulvérisation et dans les indicateurs publiés par ConnectWise. ConnectWise écrit désormais dans son avis qu’« il apparaît » qu’un groupe aligné sur l’État chinois est responsable, sur la foi notamment des renseignements de Microsoft, sans nommer Storm-0940 ni ARTEX. Huntress n’attribue pas l’attaque ; les intrusions coréennes, analysées par CrowdStrike, restaient sans auteur identifié selon Digital Today.

Plusieurs questions restent ouvertes. Ni Microsoft ni ConnectWise n’expliquent comment le secret de l’application a été dérobé. Aucun des deux ne publie de répartition géographique : rien ne dit si des organisations françaises ou européennes figurent parmi les victimes. Le 22 octobre au soir, le CERT-FR, le centre gouvernemental français de veille et de réponse aux attaques informatiques, n’avait publié aucune alerte sur ConnectWise, et nous n’avons pas trouvé d’avis de l’agence américaine CISA.

Pour les clients : désactiver, ne pas effacer

ConnectWise a suspendu Cloud Backup le 17 octobre, puis, par précaution, SaaS Security et Cloud Management, qui en dépendent ; il a désactivé le même jour à 9 h (heure de Paris) sept identités d’application, dont la liste figure dans son guide d’enquête. Le rétablissement par étapes, commencé le 21 octobre, n’a encore rendu aucune fonction aux partenaires : le 23, ConnectWise prévoyait d’achever les tests de sécurité de l’environnement restauré d’ici la fin du week-end, de permettre la restauration des sauvegardes existantes au début de la semaine du 26 octobre, puis de réinscrire les partenaires par vagues. Il assure que les archives de sauvegarde existantes ne montrent « aucune indication de compromission ».

Ses recommandations et celles de Microsoft convergent :

• garder les applications ConnectWise désactivées dans chaque espace Microsoft 365 (réglage « Enabled for users to sign-in? » sur « No ») jusqu’aux instructions officielles de rétablissement, y compris dans les espaces où le service ne sert plus ;
• ne pas supprimer ces applications en premier réflexe, pour conserver les preuves ;
• les rechercher par identifiant d’application, pas par nom (les anciennes installations s’affichent encore sous le nom SkyKick) ;
• exporter sans tarder les journaux de connexion et d’audit : la version gratuite d’Entra, le service de gestion des identités de Microsoft, ne les garde que sept jours ;
• examiner l’activité depuis le 13 octobre au moins (le 1^er octobre si possible), en particulier les ajouts de secrets ou de certificats, les attributions de rôles d’administration et les règles de transfert de courriel ;
• vérifier les autres applications du locataire : désactiver celle de ConnectWise ne supprime pas les identifiants que l’attaquant a pu ajouter ailleurs.

Pour un prestataire, la revue doit porter sur chaque client, son propre espace ne couvrant pas les leurs, insiste ConnectWise. C’est la leçon de l’affaire : la confiance accordée une fois à une application de sauvegarde est devenue, pour des agents automatisés, un passe-partout qu’ils ont essayé sur des milliers de serrures en quelques jours.

Les citations de Microsoft, ConnectWise, Huntress et Digital Today sont traduites de l’anglais par la rédaction.