Le 22 octobre 2026, ConnectWise indiquait que le rétablissement progressif de Cloud Backup avançait, chaque étape restant soumise à une validation de sécurité. Les consignes de disponibilité et de reconnexion propres à chaque service étaient encore à venir. Les connexions concernées devaient rester désactivées jusqu’aux instructions formelles applicables à leur service.
L’incident porte sur des accès non autorisés aux identifiants applicatifs de ConnectWise Cloud Backup, anciennement SkyKick, utilisés pour accéder à des environnements Microsoft 365. NeoTeo avait déjà relaté l’interruption de Cloud Backup. ConnectWise prévoyait une prochaine mise à jour au plus tard le 23 octobre à 01 h UTC.
Ce que comptent les observations de Huntress
Huntress a examiné les connexions d’applications ConnectWise dans plus de 10 000 tenants. L’entreprise a relevé une activité suspecte dans plus de 1 000 tenants Microsoft et plus de 300 connexions qui semblaient avoir abouti. Certaines apparaissaient réussies alors que l’application concernée n’était pas présente dans le tenant. Huntress précisait que son relevé était incomplet : ces nombres décrivent une activité observée, pas un décompte de tenants dont la compromission est confirmée.
Les identités d’application répertoriées par ConnectWise
ConnectWise a publié sept identités d’application associées à l’incident. Les identifiants ci-dessous permettent de les distinguer dans les environnements Microsoft 365.
| Identité de l’application | ID client |
| ConnectWise Cloud Backup | 506e08f9-6e9a-4da4-942b-a099a03644ae |
| ConnectWise Cloud Management | 2399d300-6fca-4e6a-a686-399fefe75b83 |
| Cloud Management - MS Teams | 24205314-2b89-4e07-a2a4-579e898a5640 |
| Cloud Management - Exchange Online | b78f6a77-d4e5-46fb-87e5-d1648bd02519 |
| Cloud Management - MS Graph | 0de14c77-b9b0-4137-9360-34878a929827 |
| Cloud Management - Partner Center | 412dcf96-176d-4b3a-a1b0-4981ad66971e |
| Cloud Management - SharePoint Online | b2b55f5b-7758-4719-8d8f-88ae172e6bdb |
Désactiver l’application ne suffit pas à examiner un tenant
La désactivation des connexions concernées empêche de nouvelles authentifications par ces applications. Elle n’annule pas les changements déjà effectués dans un tenant, et des jetons d’accès déjà émis peuvent rester utilisables jusqu’à leur expiration ou leur invalidation.
Les recommandations techniques de ConnectWise demandent aussi d’examiner les journaux de connexion et d’audit, les identifiants et autorisations des applications, les rôles d’annuaire et les consentements. Elles couvrent également les relations de fédération, les règles et redirections de messagerie, ainsi que les autres identités ou paramètres modifiés pendant l’activité suspecte.
ConnectWise indiquait par ailleurs que ses archives de sauvegarde existantes restaient chiffrées, isolées et préservées, sans signe de compromission selon son évaluation. Cette déclaration concerne les archives de sauvegarde de l’entreprise ; l’examen des tenants Microsoft 365 reste distinct.
