Le 21 octobre, ConnectWise a indiqué poursuivre la réponse à un accès non autorisé à des identités applicatives associées à Cloud Backup. Le fournisseur a désactivé les sept identités concernées, réinitialisé les comptes et identifiants de l’environnement touché, et prépare une remise en service par étapes. Cloud Backup, SaaS Security et Cloud Management restent suspendus pendant les contrôles.
ConnectWise dit que les archives de sauvegarde sont chiffrées, isolées et préservées, et qu’il n’a pas d’indication de compromission de ces archives. Cette déclaration ne démontre pas à elle seule que les tenants Microsoft 365 des clients n’ont connu aucun accès. La distinction est importante : l’incident touche des identités utilisées par le service de sauvegarde, tandis que les autorisations locales et les journaux de chaque tenant doivent être examinés séparément.
Ce que ConnectWise a confirmé
L’avis du Trust Center relie l’incident à des identités applicatives de Cloud Backup. ConnectWise a désactivé sept applications le 17 octobre, révoqué leurs identifiants et achevé la réinitialisation des comptes et credentials de l’environnement concerné. Au 21 octobre, l’entreprise préparait une restauration graduelle après validation de sécurité.
L’interruption a des effets opérationnels : les sauvegardes planifiées, l’accès aux archives, les restaurations et plusieurs fonctions de supervision restent indisponibles pendant la suspension. Les clients doivent donc vérifier le statut du service et connaître leur dernier point de restauration exploitable, plutôt que de supposer que les tâches planifiées continuent.
Ce que l’avis ne permet pas de conclure
ConnectWise indique ne pas avoir de signe de compromission des archives chiffrées et isolées. Ce point décrit l’état connu des archives gérées par le fournisseur. Il ne certifie pas l’absence d’accès aux données dans les environnements Microsoft 365 des clients, et ne permet pas d’affirmer que des fichiers ont été copiés.
Huntress a observé une activité de connexion depuis l’adresse associée à l’incident dans près de 1 000 tenants Entra; plus de 300 de ces connexions ont réussi. Certaines n’ont toutefois pas permis d’accéder au tenant parce que l’application requise n’y était pas présente. Dans deux tenants examinés en détail, Huntress a constaté des changements de privilèges et l’ajout d’identifiants à d’autres applications, sans trouver de modification de boîtes aux lettres ou de fichiers. Ces résultats proviennent de la télémétrie Huntress, pas d’un recensement global, et l’absence de changements de fichiers dans ces deux tenants ne vaut pas pour les autres.
Examiner son tenant Microsoft 365
ConnectWise demande de garder désactivées les connexions d’applications concernées jusqu’à ses consignes officielles de réactivation. Son guide distingue les sept identités désactivées dans l’environnement du fournisseur de leur état dans chaque tenant : vérifiez l’état local et désactivez les connexions encore actives, sans supprimer les applications afin de préserver les éléments d’enquête. Consultez les journaux de connexion des principaux de service et préservez les journaux Microsoft Entra et Purview disponibles. Le guide propose d’examiner la période depuis le 13 octobre et mentionne l’adresse 144.172.64.128 comme indicateur. Une correspondance d’adresse IP est un signal à contextualiser, pas une preuve autonome d’incident.
Contrôlez aussi les modifications apportées aux applications d’entreprise, aux principaux de service, aux identifiants, aux propriétaires et aux autorisations Microsoft Graph. Le guide précise que les secrets et inscriptions gérés par le fournisseur ne sont pas nécessairement visibles par un administrateur du tenant. À l’inverse, remplacer un identifiant légitime ne retire pas un éventuel identifiant ou consentement ajouté localement. Faites valider toute anomalie par votre responsable informatique ou votre prestataire.
Préparer la continuité des sauvegardes
Pendant la suspension, demandez à ConnectWise quel est le dernier point de sauvegarde confirmé pour chaque tenant et quand les sauvegardes reprendront. Identifiez les systèmes Microsoft 365 prioritaires, les périodes de rétention et les données dont la restauration dépend de Cloud Backup. Ne réactivez pas les applications concernées avant les consignes formelles du fournisseur. Ne supprimez pas les journaux nécessaires à l’investigation et consignez les tâches manquées.
Évitez de réautoriser une application ou de créer une intégration de remplacement sur la base d’un courriel non vérifié. Utilisez les canaux officiels du fournisseur, vérifiez les identifiants d’application communiqués et documentez les permissions demandées avant tout nouveau consentement.
Le lien avec Soclyde
Cet incident rappelle que les identifiants d’intégration et les autorisations applicatives constituent des accès à part entière. Soclyde aide une équipe à conserver et partager ses secrets professionnels dans un coffre chiffré disponible sur ses appareils. Cela peut faciliter l’inventaire et la transmission contrôlée des accès documentés.
Soclyde n’a pas empêché cet incident, ne contrôle pas les identités applicatives de ConnectWise et n’examine pas les journaux Microsoft 365. La révocation et la vérification des autorisations doivent se faire dans les consoles des services concernés.
À retenir
La priorité est double : suivre la reprise officielle du service et vérifier les journaux et permissions de votre propre tenant. Les informations publiques ne confirment pas une exfiltration généralisée des données clientes. Pour structurer vos accès professionnels en complément de ces contrôles, consultez notre guide pour sécuriser les mots de passe.
