ConnectWise désactive 7 identités d'application et révoque les certificats Cloud Backup après incident

Le fournisseur de logiciels de gestion IT ConnectWise a confirmé que le 17 octobre 2026, il a désactivé sept identités d'application et révoqué des certificats liés à son service de sauvegarde Cloud après avoir détecté un accès non autorisé qui permettait aux acteurs inconnus d'utiliser ces identifiants pour s'authentifier auprès des locataires de Microsoft 365. ConnectWise a temporairement suspendu les services SaaS Security et Cloud Management et a laissé les sauvegardes programmées inopérantes, bien qu'il affirme que les fichiers de copie existants restent cryptés, isolés et sans preuve d'accès malveillant jusqu'à présent.

Faits confirmés : ConnectWise a désactivé les sept identités d'application énumérées par l'entreprise et a révoqué les certificats Cloud Backup le 17 octobre à 07h00 UTC; a détecté l'incidence le 14 octobre en les surveillant; et a déclaré que les désactivations empêchent une nouvelle authentification par ces connexions mais n'inversent pas les changements déjà effectués au sein d'un locataire. En outre, la société a indiqué qu'elle n'avait pas observé d'activité malveillante supplémentaire dans les environnements qu'elle surveille depuis la mise en œuvre de son atténuation, bien qu'elle admette qu'elle ne peut pas voir directement l'état des environnements clients en aval.

Contexte technique et raison pour laquelle cela est grave: les applications enregistrées dans Microsoft Enter ID (anciennement Azure AD) ont des identifiants - que ce soit des secrets de client ou des certificats - qui permettent à l'application de demander des jetons d'accès sans le mot de passe de chaque utilisateur. Si un acteur obtient une de ces références, il peut l'échanger contre des jetons et agir avec les permissions que la demande a déjà dans un locataire. Avec les vastes capacités dont ConnectWise a besoin pour gérer et soutenir les environnements (accès à Exchange, SharePoint, Teams, Graph, etc.), le vol d'un titre de créance permet de lire des boîtes aux lettres et des documents à créer de nouvelles applications, d'ajouter des secrets aux applications existantes et de lever des privilèges en attribuant des rôles ou des changements dans la configuration des répertoires.

Recherche externe et portée connue : le fournisseur de cybersécurité Huntress a indiqué avoir observé des démarrages de session associés à une adresse IP liée à une activité non autorisée, avec près de 1 000 locataires d'Entre actifs de cette IP et environ 300 démarrages de session réussis. Huntress souligne également les tentatives ciblées sur les applications de gestion chez Exchange Online, Teams et SharePoint, et confirme l'abus de l'application Teams chez au moins un locataire. Ces données proviennent de leur analyse et ne représentent pas une vérification complète de tous les clients.

Ce qui n'est pas encore clair: ConnectWise souligne que le mécanisme exact pour l'exposition des pouvoirs est inconnu et qu'il ne peut actuellement indiquer si une vulnérabilité du produit a contribué à l'engagement. Il n'y a pas non plus de confirmation publique et complète des clients ayant subi un accès ou une exfiltration persistants; la société et les tiers continuent à enquêter.

Incidences pratiques pour les organisations et les PSM : 1) perte temporaire de la capacité de restaurer les sauvegardes et les pauses dans les copies programmées; 2) risque d'accès non autorisé persistant chez les locataires si l'acteur a ajouté des secrets ou des rôles; 3) exposition potentielle du courrier, des fichiers, des chats et des données de répertoire selon les permissions des applications compromises. Pour les secteurs réglementés ou à risque élevé (sécurité nationale, commerce, etc.), l'exposition peut entraîner une non-conformité réglementaire et des notifications obligatoires.

Mesures immédiates et concrètes à prendre par les gestionnaires et les fournisseurs (priorité par impact):

Préserver les preuves: sauvegarder les journaux d'inscription et d'audit à partir de l'identification et de l'échange du 13 octobre et au-delà avant de faire toute divulgation.

Recherche d'activités suspectes: examiner le début de la session et les événements d'audit en recherchant l'IP (144.172.64.128) et d'autres indicateurs d'engagement entre le 13 octobre et la date actuelle; vérifier les jetons émis et les utilisateurs ou applications ayant une activité inhabituelle.

Vérification et identification des demandes: lister toutes les demandes et les directeurs de service dans chaque locataire, vérifier les propriétaires, les secrets et les certificats avec la date de création récente, et révoquer ou faire tourner des secrets inconnus. Conserver les connexions affectées signalées par ConnectWise désactivées jusqu'à notification ultérieure.

Vérifier les rôles et les autorisations: vérification des attributions de rôles privilégiés (Global Admin, Application Administrator, Cloud Application Administrator), annulation des modifications non autorisées et limitation de l'autorisation des demandes. Examiner les autorisations de délégation et OAuth2Permission Grants.

Trouver la persistance et le comportement malveillant: vérifier la création récente d'applications, les secrets de clients ajoutés, les règles de transfert de courrier, les règles de transport et les délégations de boîte aux lettres; revoir les activités de création / d'édition de politiques et les propriétaires modifiés.

Renforcement des contrôles des plates-formes: appliquer des politiques de gestion d'application qui limitent les secrets des clients et limitent leur durée, considérer l'accès conditionnel pour les identités de charge de travail et entrer la protection ID pour marquer les principaux à risque. Microsoft publie des guides sur les objets d'application et les principes de service qui aident à ces étapes: Objets de l'application et principaux services (Microsoft) et sur les identités de la charge de travail: Fédération d'identité de la charge de travail (Microsoft).

Communication et coordination: MSP devrait informer immédiatement les clients concernés, partager les indicateurs d'engagement et collaborer à l'examen de leurs locataires. S'il existe des soupçons d'accès effectif ou d'exfiltration, intensifier les équipes d'intervention et informer les autorités compétentes conformément au règlement applicable.

Recommandations d'atténuation à moyen terme : réduire les privilèges accordés aux demandes (principe de moins de privilège), limiter les possibilités de créer ou de gérer des demandes, appliquer une gouvernance consensuelle, faire pivoter les certificats et les secrets avec de courtes cadences et envisager des solutions de détection qui surveillent les chefs d'activité de service inhabituels. Microsoft Les outils de protection entrants et les politiques de gestion des applications aident à atténuer les abus s'ils sont correctement configurés.

Conclusion: L'affichage des références d'application est un vecteur qui évite la nécessité de voler les références humaines et facilite l'escalade et la persistance chez plusieurs locataires. Il est essentiel d'agir rapidement dans la conservation des preuves, l'examen des chefs de service et la révocation et la rotation des titres de compétence., et les organisations doivent supposer que toute demande comportant des permis complets mérite une vérification complète jusqu'à ce qu'il soit confirmé qu'il n'y a pas eu d'abus. Pour la documentation technique et les étapes spécifiques de gestion d'identité voir les guides Microsoft liés et garder un oeil sur les mises à jour officielles de ConnectWise à votre centre d'alerte et de sécurité: Avis de sécurité ConnectWise.