Sommaire
Samedi 17 octobre, ConnectWise a suspendu son service Cloud Backup : des attaquants ont utilisé un identifiant d’application volé pour se connecter à environ 173 environnements Microsoft 365 de clients de prestataires. Les sauvegardes planifiées ne tournent plus et les restaurations sont indisponibles le temps de l’enquête — les archives existantes seraient intactes et chiffrées.
Le modus operandi est vicieux : pas besoin de voler 173 mots de passe, il suffit d’usurper l’application de sauvegarde, qui dispose déjà de larges accès aux boîtes mail, OneDrive, SharePoint et Teams. Selon le chercheur Huntress Jon Semon, une vague ciblée a même visé des tenants dans des secteurs sensibles (politique, sécurité nationale). Les partenaires sont invités à vérifier les connexions applicatives de chaque tenant et à passer au crible les logs de connexion depuis le 13 octobre.
Lento dit : quand l’outil de sauvegarde devient la porte d’entrée, c’est que l’attaque visait plus haut que vos mots de passe. Les MSP qui dorment sur leurs consentements applicatifs viennent de prendre une leçon gratuite : vérifiez qui a accès à quoi, maintenant — pas après la prochaine coupure.
