ConnectWise coupe l’accès à Cloud Backup après des connexions non autorisées

ConnectWise a indiqué le 17 octobre 2026 à 05 h 01 UTC avoir coupé l’accès à son application Cloud Backup, ce qui a interrompu le service de sauvegarde. Dans le même avis, l’entreprise a précisé que l’interruption n’avait pas affecté l’archive de sauvegarde déjà stockée. ConnectWise

Huntress a rapporté 173 tenants partenaires ou clients avec des connexions non autorisées utilisant un identifiant de ConnectWise Cloud Backup, selon The Hacker News. Ce nombre porte sur des authentifications ; il ne décrit pas, à lui seul, des données consultées ou copiées.

Ce que les 173 connexions permettent de comprendre

Une connexion réussie de l’application établit l’émission d’un jeton d’accès à Microsoft Graph, l’interface de programmation utilisée pour accéder aux services Microsoft 365. Elle ne précise pas quelles données ont ensuite été lues. Les autorisations déjà approuvées pour l’application pouvaient couvrir, selon chaque tenant, les courriels et leurs pièces jointes, les fichiers OneDrive et SharePoint, les conversations Teams ainsi que des informations d’annuaire. Certaines autorisations permettaient aussi d’écrire ou de restaurer des données. Todyl décrit ces droits tels qu’ils existaient dans les tenants qu’il surveillait.

Les observations de Todyl illustrent pourquoi les journaux ne donnent pas toujours une attribution simple. Dans les tenants surveillés sans abonnement de sauvegarde actif, Todyl n’a relevé aucune lecture de courriels ou de fichiers après l’émission des jetons. Dans ceux où la sauvegarde était active, les lectures ne pouvaient pas être attribuées à l’attaquant plutôt qu’au service de sauvegarde légitime : les deux utilisaient la même identité d’application. Todyl précise que les adresses IP source par requête n’étaient pas disponibles lorsque les journaux d’activité Microsoft Graph n’avaient pas été collectés.

Deux applications ConnectWise, deux séquences

Huntress a décrit deux identités d’application distinctes et des activités observées à des heures différentes le 15 octobre. La première ligne du tableau concerne ConnectWise Cloud Management - MS Teams, et non Cloud Backup. Huntress

Pour l’activité de l’application Teams, Huntress a rapporté que les modifications avaient ajouté des secrets d’application à un outil de gestion MSP et à une application Huntress. L’entreprise n’avait pas d’adresse source pour cette séquence antérieure et n’avait pas relié ces changements à l’utilisation ultérieure des identifiants Cloud Backup. Analyse de Huntress

Où consulter les connexions dans Microsoft Entra

ConnectWise a indiqué aux administrateurs d’ouvrir Monitoring > Sign-in logs > Service principal sign-ins dans Microsoft Entra, puis de filtrer les événements avec l’identifiant de Cloud Backup : 506e08f9-6e9a-4da4-942b-a099a03644ae. L’onglet par défaut User sign-ins ne présente pas les connexions pertinentes de l’application. ConnectWise recommande d’examiner l’adresse 144.172.64[.]128 ainsi que les autres adresses inattendues ; un indicateur isolé ne suffit pas à établir qu’un tenant a été compromis. Avis de ConnectWise

Todyl indique que désactiver l’application dans un tenant empêche l’émission de nouveaux jetons, mais que ceux déjà émis peuvent rester valides jusqu’à 90 minutes. [Todyl](https://www.todyl.com/blog/investigation- unauthorized-access-through-the-connectwise-cloud-backup-microsoft-365-app)

Les politiques d’accès conditionnel de Microsoft pour les identités de charge de travail ne couvrent pas les applications SaaS tierces multitenants, selon la documentation de Microsoft.