Contexte de l’incident
Le 18 octobre 2026, ConnectWise a annoncé la suspension temporaire de son service de sauvegarde cloud suite à la découverte d’une compromission de plusieurs locataires Microsoft 365. Aucun détail technique n’a été publié, la société se limitant à indiquer que des acteurs malveillants avaient obtenu un accès non autorisé aux comptes Microsoft 365 des clients, ce qui a potentiellement exposé les flux de données de sauvegarde. L’absence de précisions sur le vecteur d’infection ou sur le nombre de locataires affectés constitue la principale contrainte d’analyse.
Architecture du service de sauvegarde ConnectWise
ConnectWise Backup for Microsoft 365 repose sur l’API Graph de Microsoft, authentifiée via OAuth 2.0. Chaque client crée un « tenant » dédié dans le cloud ConnectWise, où les métadonnées de sauvegarde sont stockées. Les données réelles sont chiffrées côté client avec AES‑256 avant d’être transférées vers les serveurs de stockage Azure Blob. Le processus d’extraction s’appuie sur des appels GET /users/{id}/messages et GET /sites/{id}/drive de l’API Graph, exécutés par un agent Windows installé sur le réseau du client.
Vecteurs d’attaque sur les locataires Microsoft 365
Une compromission de locataire Microsoft 365 peut résulter de plusieurs mécanismes : vol de jeton d’accès OAuth, phishing ciblé sur les administrateurs, ou exploitation de permissions excessives accordées à des applications tierces. Dans le scénario le plus fréquent, un attaquant obtient un refresh token valide, puis génère de nouveaux jetons d’accès pour invoquer les mêmes points d’extraction que le service de sauvegarde. Cette capacité permet de lire, copier ou supprimer des éléments de messagerie et de fichiers SharePoint, ce qui compromet directement l’intégrité des sauvegardes.
# Exemple PowerShell pour révoquer un refresh token compromis
$tenantId = ""
$appId = ""
$refreshToken = ""
Invoke-RestMethod -Method Post -Uri "https://login.microsoftonline.com/$tenantId/oauth2/v2.0/logout" -Body @{client_id=$appId;refresh_token=$refreshToken}
Le script ci‑dessus illustre la procédure standard de révocation d’un jeton, souvent recommandée après la détection d’une fuite. La présence d’un tel jeton dans les logs de ConnectWise aurait pu déclencher l’arrêt du service, afin d’empêcher toute utilisation ultérieure.
Réaction de ConnectWise et limites d’information
ConnectWise a désactivé les sauvegardes affectées, informé les clients concernés et lancé une enquête interne. La société a indiqué qu’elle travaille avec Microsoft pour renforcer la surveillance des jetons OAuth et appliquer le principe du moindre privilège aux applications tierces. En l’absence de données chiffrées sur le nombre d’incidents ou sur les pertes éventuelles, l’impact réel reste incertain. Les utilisateurs doivent vérifier leurs propres configurations d’authentification, révoquer les autorisations inutiles et surveiller les journaux d’accès afin de limiter les risques futurs.
