Le 17 octobre 2026, ConnectWise a indiqué avoir révoqué les certificats associés aux connexions touchées et invalidé les identifiants partagés de Cloud Backup. Dans cette mise à jour, l’entreprise disait que les archives chiffrées étaient préservées, mais qu’elles n’étaient accessibles ni pour consultation ni pour restauration. Elle ajoutait ne pas pouvoir déterminer si un tenant Microsoft 365 client avait connu une activité non autorisée. ConnectWise
ConnectWise déclarait ne disposer d’aucun élément indiquant que les archives avaient été consultées. Cette déclaration concernait les sauvegardes stockées ; pour l’activité dans les environnements Microsoft 365 des clients, l’entreprise disait ne pas avoir de visibilité directe.
Ce que l’interruption a changé pour les sauvegardes
ConnectWise avait suspendu l’accès à Cloud Backup à 5 h 01 UTC le 17 octobre. À 17 h UTC, ses archives restaient isolées et préservées, mais leur accès et leur restauration étaient indisponibles. Les tâches de sauvegarde planifiées ne s’exécutaient pas pendant l’interruption : des données nouvelles ou modifiées pouvaient donc ne pas figurer dans les points de restauration existants.
Les connexions observées dans Microsoft 365
Huntress a rapporté des connexions non autorisées à Cloud Backup dans 162 tenants de sa télémétrie au 16 octobre 2026, à 19 h UTC. L’application concernée, ConnectWise Cloud Backup, anciennement SkyKick Backup, utilisait une identité applicative pour obtenir des jetons d’accès à Microsoft Graph. Cette authentification « app-only » repose sur les autorisations déjà accordées à l’application ; elle ne passe pas par la connexion d’un utilisateur ni par une demande de MFA à celui-ci. Huntress a observé des connexions le 15 octobre entre 6 h 13 et 8 h 34 UTC. Huntress
Le 17 octobre, Microsoft Threat Intelligence a qualifié l’activité d’attaque active de la chaîne d’approvisionnement dans une publication en anglais.
Cloud Management - MS Teams était une application distincte
Huntress a également rapporté des changements de rôles dans près de 50 tenants surveillés, principalement l’attribution du rôle Exchange Administrator. Dans un tenant, une autre application, ConnectWise Cloud Management - MS Teams, s’est attribué le rôle Global Administrator et a ajouté des secrets clients à deux autres applications, dont une application Huntress propre à ce tenant. Cette séquence a duré environ cinq minutes le 15 octobre. Cloud Management - MS Teams n’était pas l’application Cloud Backup utilisée lors des connexions initiales.
Pourquoi certaines lectures étaient difficiles à attribuer
Dans les tenants suivis où les sauvegardes étaient actives, Todyl a relevé des lectures que ses enquêteurs ne pouvaient distinguer entre l’activité légitime du service et celle de l’auteur des accès non autorisés. La même identité applicative intervenait dans les deux cas, et les journaux d’activité Microsoft Graph comportant l’adresse IP source de chaque requête n’étaient pas collectés. Todyl
Dans les tenants suivis sans abonnement actif, Todyl n’a pas relevé d’enregistrements de lecture de boîtes aux lettres ou de fichiers après l’émission des jetons. L’entreprise a décrit ce constat comme une absence d’indice de copie massive. Les observations de connexions et de lectures ne quantifient pas les données éventuellement copiées.
Pour examiner les connexions applicatives, ConnectWise a orienté les administrateurs vers le centre d’administration Microsoft Entra, dans les journaux de connexion des principaux de service, avec un filtre sur l’ID de Cloud Backup : 506e08f9-6e9a-4da4-942b-a099a03644ae. L’onglet des connexions utilisateur ne fait pas apparaître cette authentification applicative.
