Piratage de ConnectWise Cloud Backup : la sauvegarde de Microsoft 365 devient une porte d’entrée, et les restaurations sont suspendues

ConnectWise, éditeur de logiciels destinés aux prestataires informatiques, a suspendu son service Cloud Backup, anciennement nommé SkyKick, qui permet à ces prestataires de sauvegarder les données Microsoft 365 des entreprises dont ils s’occupent. En cause : un identifiant de l’application elle-même, compromis, a permis à un attaquant d’entrer dans des comptes Microsoft 365. Au 19 octobre 2026, selon Help Net Security, aucune sauvegarde programmée ne tournait et les clients ne pouvaient plus restaurer leurs données. Un outil conçu pour protéger contre la perte de données est donc devenu, en quelques jours, à la fois une porte d’entrée et une copie hors d’atteinte.

Une clé pour tous les comptes

Pour sauvegarder une messagerie ou des fichiers hébergés chez Microsoft, un service tiers a besoin d’un accès permanent. L’organisation autorise donc l’application de sauvegarde dans son compte : celle-ci y existe ensuite comme une identité d’application (un « service principal », dans le vocabulaire de Microsoft), capable de lire et d’écrire des données sans qu’aucune personne ne se connecte. C’est pratique, et c’est aussi le point faible du modèle : selon Huntress, cité par Help Net Security, l’identifiant de l’application fonctionne dans toutes les organisations qui lui ont accordé cet accès, quel que soit le prestataire qui l’a installée.

Une seule compromission chez l’éditeur a atteint d’un coup les clients de nombreux prestataires informatiques différents.

C’est pourquoi Microsoft, selon Help Net Security, a qualifié l’incident d’attaque de la chaîne d’approvisionnement : l’attaquant ne visait pas une entreprise précise, mais un fournisseur commun à beaucoup d’entre elles. D’après The Record, Microsoft estime que l’attaquant a probablement abusé des permissions que les clients avaient eux-mêmes accordées à l’application, y compris des permissions très élevées comme Directory.ReadWrite.All, qui porte sur l’annuaire de l’organisation. Selon The Register, ConnectWise a aussi coupé certaines intégrations entre Cloud Backup et Exchange, Teams, SharePoint Online et ses propres produits.

La société de cybersécurité Huntress, qui surveille des PME pour y détecter les intrusions, a publié une analyse détaillée. Au 16 octobre 2026, elle avait confirmé des connexions non autorisées dans 162 locataires Microsoft 365 ; le « locataire », ou tenant, désigne l’espace Microsoft 365 propre à une organisation. Pour la suite, les sources divergent : selon Help Net Security, Huntress a relevé près d’un millier de comptes Microsoft 365 visés par des tentatives de connexion depuis l’adresse de l’attaquant, dont plus de 300 réussies ; le blog de Huntress parle, lui, de près d’un millier de locataires, dont plus de 300 connexions abouties. Ces chiffres reflètent ce que Huntress a pu observer et pourraient encore évoluer, l’enquête étant toujours en cours.

Le détail des actions de l’attaquant inquiète davantage. Quelques heures avant la vague principale, l’application Cloud Management de ConnectWise pour Microsoft Teams s’est elle-même attribué, dans le locataire d’un partenaire de Huntress, le rôle d’administrateur global. De nouveaux identifiants secrets ont ensuite été ajoutés à deux autres applications de ce locataire, réglés pour rester valables jusqu’en 2028 : de quoi revenir plus tard, même après la coupure de l’application compromise. Huntress le rappelle : désactiver les applications ConnectWise ne supprime pas les identifiants déjà ajoutés ailleurs, qu’il faut donc examiner un par un.

La réponse de ConnectWise

Le 17 octobre 2026, ConnectWise a désactivé sept de ses identités d’application (l’application de sauvegarde, son produit Cloud Management et cinq autres applications lui appartenant) et révoqué les certificats utilisés pour ces connexions. Ses services SaaS Security et Cloud Management ont été suspendus par précaution, parce qu’ils sont intégrés à Cloud Backup. L’éditeur prévient toutefois, selon Help Net Security, que les jetons d’accès émis avant la coupure peuvent rester utilisables jusqu’à leur expiration. Sur l’origine de l’accès, ConnectWise indique : « The investigation identified compromised application identities. » D’après Help Net Security, on ignore encore si une faille du produit a joué un rôle et comment l’identifiant a été exposé.

Côté données, ConnectWise se veut rassurant. Cité par The Register, l’éditeur affirme : « Existing archives remain encrypted, isolated, and preserved, with no evidence of unauthorized access. » Huntress apporte une nuance importante : les lectures de l’annuaire effectuées par Microsoft Graph, l’interface par laquelle les applications dialoguent avec Microsoft 365, ne laissent aucune trace dans les journaux d’audit. L’absence de trace visible ne suffit donc pas à exclure que des informations aient été consultées, même si rien, à ce stade, n’indique que les archives de sauvegarde elles-mêmes aient été touchées.

Plus de sauvegarde ni de restauration

Pour les entreprises concernées, le problème le plus immédiat est ailleurs : tant que le service reste coupé, elles n’ont plus de sauvegarde en cours. Au 19 octobre 2026, aucune restauration n’était possible et ConnectWise disait ne pas pouvoir encore fixer de date de rétablissement. Dans sa mise à jour du 20 octobre 2026, l’éditeur annonce que les services seront rétablis par étapes contrôlées, une fois terminés les travaux de remédiation et de validation de sécurité. Il demande de ne pas reconnecter les applications concernées avant d’avoir reçu des instructions formelles de restauration.

ConnectWise invite d’ailleurs ses partenaires à vérifier leur dernier point de restauration réussi et à évaluer la période non couverte pendant l’interruption. Autrement dit, si aucune autre copie n’existe, chaque courriel reçu et chaque fichier modifié depuis le dernier passage réussi ne se trouve, pour l’instant, que chez Microsoft. Les dégâts d’une erreur de manipulation, d’une suppression malveillante ou d’un rançongiciel survenus pendant cette période ne pourraient pas être réparés à partir de cette sauvegarde, puisque l’outil chargé de la conserver est lui-même à l’arrêt.

Savoir qui garde vos données

Reste une difficulté très concrète pour les petites structures : savoir quel outil leur prestataire utilise. Comme le relève The Register, les prestataires informatiques n’ont aucune obligation de révéler les plateformes sur lesquelles ils s’appuient, et ConnectWise demande à ses clients d’examiner chaque environnement Microsoft 365 qu’ils gèrent pour y chercher des signes de compromission. Si votre messagerie Microsoft 365 est sauvegardée par un prestataire, demandez-lui explicitement s’il utilise Cloud Backup ou SkyKick, et s’il a passé en revue les rôles et les identifiants des applications autorisées sur votre compte.

Cet incident illustre une règle simple : une sauvegarde n’est fiable que si l’on garde la main sur au moins une copie. Cybermalveillance.gouv.fr recommande d’effectuer plusieurs sauvegardes de ses données sur différents supports, de déconnecter le support de sauvegarde lorsqu’il ne sert pas et de vérifier régulièrement que la sauvegarde fonctionne. Pour cette copie maîtrisée, des outils libres existent. Le logiciel de sauvegarde restic, par exemple, se présente comme « entirely free to use and completely open source », est publié sous licence BSD 2-Clause et peut enregistrer ses sauvegardes vers des stockages auto-hébergés comme vers des services en ligne.

Pour les TPE, les PME et les particuliers, la leçon ne vise pas un éditeur en particulier : accorder à un service tiers un accès permanent à toute sa messagerie, c’est aussi lui confier une clé qui peut être volée, et lui remettre son unique filet de sécurité. Faire l’inventaire des applications autorisées sur son compte Microsoft 365, retirer celles qui ne servent plus et conserver une copie indépendante, chiffrée et régulièrement testée sont des gestes à la portée de toute petite structure. Dans le cadre de notre accompagnement bénévole et gratuit, nous aidons volontiers à les mettre en place, dans la mesure de nos disponibilités.