ConnectWise : des identifiants volés de son outil de sauvegarde Microsoft 365 ont ouvert l'accès aux comptes de centaines d'entreprises clientes de prestataires

Le 17 octobre, BleepingComputer a rapporté, et Microsoft a confirmé, que des attaquants utilisent depuis le 15 octobre les identifiants de l’application ConnectWise Cloud Backup (ex-SkyKick), un service de sauvegarde de Microsoft 365 vendu surtout à des prestataires informatiques infogérants, pour se connecter directement aux comptes Microsoft 365 de leurs clients. Comme cette application se connecte seule, sans utilisateur, la double authentification ne s’applique pas, et ses droits lui permettaient de lire et modifier courriels, fichiers OneDrive et SharePoint et conversations Teams ; la société de sécurité Huntress a confirmé des connexions non autorisées dans 162 entreprises qu’elle surveille et, dans un cas, l’attaquant s’est attribué le rôle d’administrateur général en cinq minutes. ConnectWise a coupé l’accès au service : les sauvegardes programmées ne tournent plus et les restaurations sont indisponibles jusqu’à nouvel ordre. Nous signalions le 12 octobre les failles du logiciel de sauvegarde AhsayCBS utilisé par des prestataires ; la nouveauté est que l’attaque passe ici par les identifiants de l’éditeur lui-même, sans aucune faille à corriger de votre côté. Ce que cela change pour vous : si votre Microsoft 365 est géré par un prestataire, demandez-lui par écrit dès aujourd’hui s’il utilise ConnectWise Cloud Backup ou SkyKick, s’il a désactivé l’application dans votre compte et vérifié les connexions et les rôles d’administrateur ajoutés depuis le 13 octobre, et comment vos sauvegardes sont assurées en attendant.