Au 19 octobre 2026 à 13 h 45 UTC, ConnectWise indiquait que Cloud Backup, SaaS Security et Cloud Management restaient suspendus. Les sauvegardes programmées, l’accès aux archives et les restaurations étaient indisponibles, tout comme la surveillance et les alertes de SaaS Security ainsi que la gestion des utilisateurs et des licences de Cloud Management. ConnectWise n’avait pas confirmé d’heure de rétablissement dans son avis de service.

Ce que les observations de sécurité indiquent

Huntress a rapporté des connexions non autorisées à Cloud Backup dans 173 tenants partenaires et clients, avec l’identifiant d’application compromis. L’entreprise a aussi signalé une activité provenant de l’adresse IP associée dans près de 1 000 tenants Entra et plus de 300 connexions réussies. Ces deux derniers chiffres mesurent une activité plus large que les 173 tenants concernés par les connexions non autorisées rapportées par Huntress (mise à jour de Huntress ; analyse de Huntress).

Todyl a décrit un flux d’authentification « app-only » : l’application obtenait des jetons Microsoft Graph sans qu’un utilisateur se connecte de façon interactive. Dans ce flux observé, l’application utilisait les autorisations déjà accordées par les administrateurs au service. L’authentification multifacteur destinée aux utilisateurs ne s’appliquait pas à cette connexion d’application, selon l’analyse de Todyl.

Dans un tenant partenaire, Huntress a également observé une autre application, ConnectWise Cloud Management - MS Teams, s’attribuer le rôle Global Administrator et ajouter des secrets à deux autres applications. Il s’agissait d’une identité distincte de celle de Cloud Backup.

Archives stockées et données des tenants actifs

ConnectWise a indiqué que les archives de sauvegarde hébergées restaient chiffrées et isolées, sans preuve qu’elles avaient été consultées. Cette déclaration concerne les archives stockées. Elle ne détermine pas si l’activité non autorisée a touché les environnements Microsoft 365 actifs des clients ; ConnectWise indique ne pas pouvoir établir seul l’impact dans chaque tenant.

Todyl a expliqué que certaines lectures dans des tenants où les sauvegardes étaient actives ne pouvaient pas être attribuées avec certitude à l’activité du service ou à celle des intrus, faute de journaux d’activité Microsoft Graph collectés. Les deux situations impliquent des données différentes : les archives hébergées par le service et les données présentes dans les environnements Microsoft 365 des clients.

Les vérifications recommandées aux partenaires

ConnectWise a indiqué avoir désactivé sept identités d’application le 17 octobre à 07 h UTC. Cette désactivation empêche de nouvelles authentifications par ces connexions, mais n’annule pas les changements déjà effectués dans un tenant. Des jetons émis auparavant pouvaient rester utilisables jusqu’à leur expiration ou leur invalidation.

L’avis de ConnectWise demande aux partenaires de conserver les journaux disponibles, de garder désactivées les applications concernées et d’examiner les connexions, les identifiants, les autorisations, les rôles et les autres modifications apportées aux identités des tenants. Il leur demande d’attendre les instructions officielles de rétablissement ou de reconnexion. Pour revenir sur la révocation des certificats et des accès, consultez notre précédent article sur l’incident.