Ce que l’on sait au 18 octobre 2026
ConnectWise indique avoir identifié le problème le 14 octobre et enquêter sur des accès non autorisés à des identités d’applications associées à Cloud Backup. Le 17 octobre à 07 h UTC, l’entreprise a désactivé sept identités d’applications et suspendu le service en révoquant les certificats des connexions concernées. Les sauvegardes et les restaurations sont temporairement indisponibles.
Des connexions Microsoft 365 non autorisées
Huntress a confirmé des connexions non autorisées dans 162 environnements Microsoft 365 au 16 octobre à 19 h UTC, parmi ceux observés par son équipe. Ce chiffre n’est pas un bilan global de toutes les organisations concernées. Dans au moins un environnement étudié, des modifications de permissions et d’identifiants applicatifs ont été observées. Une authentification multifacteur sur les comptes humains ne suffit pas à bloquer l’utilisation d’un secret d’application compromis.
Les archives sauvegardées sont-elles compromises ?
ConnectWise indique que ses archives Cloud Backup restent chiffrées, isolées et préservées, et ne dispose pas, à ce stade, de preuve d’accès non autorisé à ces archives. Cela ne signifie pas que les environnements Microsoft 365 des clients sont tous indemnes : l’éditeur invite chacun à examiner ses propres journaux. Les archives existent, mais leur restauration reste indisponible pendant la suspension du service.
Cinq contrôles prioritaires
1. Recenser les applications ConnectWise/SkyKick consenties dans Microsoft Entra, y compris les connexions anciennes. 2. Analyser les journaux de connexions des principaux de service, pas uniquement ceux des utilisateurs. 3. Examiner les ajouts de secrets, certificats, permissions et rôles privilégiés à l’ensemble des applications concernées. 4. Vérifier les modifications anormales des messageries, règles de transfert et accès aux fichiers. 5. Confirmer le délai de restauration attendu et préparer une solution de continuité indépendante si l’activité l’exige.
Pourquoi désactiver une application peut ne pas suffire
La désactivation des connexions affectées bloque de nouvelles authentifications par ces connexions, mais ne supprime pas automatiquement les nouveaux secrets, droits ou accès qu’un attaquant aurait pu ajouter auparavant. Les clients exposés doivent suivre les consignes de ConnectWise et les observations de leurs équipes de sécurité avant toute réactivation.
La leçon pour les petites entreprises
Une bonne stratégie de sauvegarde ne se limite pas à voir un voyant vert. Il faut vérifier l’intégrité des archives, leur disponibilité, la capacité réelle de restauration et les droits des applications tierces. Les outils de diagnostic et de supervision TechAtelier peuvent aider à surveiller les services numériques, mais ne remplacent ni une investigation Entra ni une sauvegarde indépendante.
Sources
Situation au 18 octobre 2026 : enquête en cours. Les recommandations de l’éditeur peuvent évoluer.