ConnectWise Cloud Backup : des pirates ont détourné les identités Microsoft 365 du service, les infogérants doivent auditer chaque client

ConnectWise confirme un accès non autorisé aux identités applicatives de son service Cloud Backup, ex-SkyKick, qui se connectent aux environnements Microsoft 365 des infogérants et de leurs clients. Le service est suspendu, sept identités ont été désactivées et chaque partenaire doit vérifier lui-même ses tenants.

Ce qui s’est passé

Le 16 octobre 2026, ConnectWise a signalé un accès non autorisé à des identités applicatives de l’environnement Cloud Backup, son service de sauvegarde Microsoft 365 destiné aux infogérants (MSP), autrefois commercialisé sous le nom SkyKick. Ces identités, ce sont les applications que les partenaires autorisent dans Entra ID pour que le service puisse lire messageries, Teams ou SharePoint. L’éditeur a suspendu Cloud Backup le 17 octobre, puis désactivé le même jour à 7 h UTC sept identités applicatives (Cloud Backup et six modules Cloud Management) en révoquant leurs secrets. Un cabinet d’investigation externe a été mandaté.

Le 19 octobre, Cloud Backup, SaaS Security et Cloud Management restaient à l’arrêt, sans date de reprise : plus de sauvegardes planifiées, ni d’accès aux archives, ni de restauration. ConnectWise dit n’avoir observé aucune activité malveillante réussie depuis ses mesures de confinement.

Qui est concerné

Tous les infogérants qui utilisent ces outils et tous les tenants clients qui y sont reliés, y compris ceux dont la connexion dort depuis longtemps. Selon The Hacker News, qui cite des chercheurs, le secret dérobé a servi à se connecter à 173 tenants Microsoft 365. ConnectWise assure que les archives de sauvegarde restent chiffrées et isolées, mais reconnaît ne pas pouvoir déterminer seul si un tenant donné a subi une activité frauduleuse : c’est à chaque administrateur de le vérifier.

Que faire maintenant

1. Exportez les journaux dès aujourd’hui : Entra ID ne conserve les connexions et l’audit que 7 jours en version gratuite et 30 jours en P1/P2. Téléchargez-les en JSON, ainsi que l’audit Purview.
2. Désactivez les applications chez vous : dans Entra ID, Applications d’entreprise, retrouvez chaque Application ID publié par ConnectWise (par exemple 506e08f9-6e9a-4da4-942b-a099a03644ae pour Cloud Backup) et bloquez la connexion, sans rien supprimer à ce stade.
3. Fouillez les connexions depuis le 13 octobre (idéalement le 1er) à la recherche des adresses 144.172.64.128, 144.172.64.99 et 144.172.64.60 et des principaux de service concernés.
4. Passez l’audit au crible : secrets ou certificats ajoutés à des applications, nouvelles applications, consentements, attributions de rôles, modifications de l’accès conditionnel, transferts de messagerie et règles de boîte de réception.
5. Prévoyez une sauvegarde de secours tant que le service est coupé.

Notre avis

Un outil de sauvegarde dispose de droits étendus et permanents sur tous les tenants qu’il protège : si son identité tombe, tous ses clients sont exposés d’un coup. Tenez l’inventaire des applications tierces qui accèdent à votre Microsoft 365, réduisez leurs permissions et conservez vos journaux plus longtemps que ce que la plateforme propose par défaut.

Sources

• ConnectWise Trust Center — Advisory on Cloud Backup Service Interruption
• ConnectWise — Cloud Backup technical investigation and remediation guide
• ConnectWise Status — Cloud Backup security issue
• The Hacker News — Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants
• The Hacker News — ConnectWise Suspends Cloud Backup After Attackers Compromise Microsoft 365 Tenants

Comment nous choisissons, vérifions et rédigeons nos analyses →