Une mise à jour de Huntress datée du 17 octobre faisait état d’une activité de connexion dans environ 1 000 tenants Microsoft Entra et de plus de 300 connexions réussies, selon Rocket Boys. Ces chiffres décrivent l’activité d’authentification, pas un nombre de victimes ni un volume de données dérobées.
Ce que comptent les relevés
Le 16 octobre 2026 à 19 h UTC, Huntress recensait 162 tenants avec des connexions non autorisées dans son environnement de surveillance. Dans notre précédent article sur la coupure de Cloud Backup, nous revenions sur ce premier relevé. Le chiffre ultérieur rapporté par Rocket Boys correspond à une autre mise à jour et à un autre instantané. Huntress
Une connexion réussie indique qu’une application s’est authentifiée. Elle ne précise pas, à elle seule, quelles données ont ensuite été consultées. Cette distinction compte ici : les chiffres portent sur des connexions, tandis que l’accès aux contenus dépend aussi des opérations effectuées après l’authentification.
Une identité d’application, pas une session utilisateur
Selon l’analyse de Huntress, l’accès a utilisé un identifiant d’application associé à ConnectWise Cloud Backup et un identifiant détenu par le fournisseur. L’application s’est authentifiée avec les autorisations déjà accordées dans les tenants concernés, sans connexion interactive d’un utilisateur. La MFA appliquée aux comptes utilisateurs ne bloquait donc pas cette voie d’authentification applicative. Huntress
Selon les autorisations accordées dans chaque tenant, l’application pouvait accéder aux boîtes mail, à OneDrive, SharePoint, Teams ou aux données d’annuaire. L’authentification ne suffit pas à établir que ces ressources ont été consultées : elle atteste la connexion de l’application, pas les opérations réalisées sur les données. Huntress
Un autre incident de privilèges dans un tenant
Huntress a également rapporté un événement distinct dans un tenant partenaire : l’application ConnectWise Cloud Management – MS Teams s’est attribué le rôle Global Administrator et a ajouté des secrets clients à deux autres applications. Huntress n’a pas établi de lien concluant entre l’opérateur de cette séquence et celui des connexions ultérieures depuis l’adresse IP publique. Huntress
La réponse de ConnectWise
Le 17 octobre, ConnectWise a annoncé avoir coupé l’accès applicatif à Cloud Backup après avoir identifié un accès non autorisé à des identités d’application. Dans le même avis, l’entreprise a déclaré qu’à cette date elle ne disposait d’aucun indicateur de compromission des archives de sauvegarde hébergées par Cloud Backup. Cette déclaration porte sur ces archives. Avis de ConnectWise
