# ConnectWise Cloud Backup : une identité d’application ouvre des tenants Microsoft 365

> Des identifiants ConnectWise compromis ont permis des connexions Microsoft 365 et des actions Graph dans certains tenants. Analyse de la portée.

Publié le: 2026-11-04  
Canonical: https://rootzero.eu/research/connectwise-cloud-backup-identites-applicatives-2026/

**Incident révélé les 15–16 octobre 2026 ; analyse Microsoft du 21 octobre, suivi ConnectWise au 4 novembre.** [ConnectWise](https://www.connectwise.com/company/trust/advisories) a confirmé un accès non autorisé aux identités applicatives de Cloud Backup, anciennement SkyKick. [Microsoft](https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/) attribue la campagne à Storm-0940 et décrit des tentatives de connexion à plus de **2 250 tenants**. Ce nombre mesure des tentatives, pas 2 250 intrusions réussies. La question intéressante est celle de la confiance accordée à une application SaaS par plusieurs organisations clientes.

## Pourquoi une identité applicative suffit-elle ?

Une application multi-tenant est enregistrée chez son fournisseur, puis représentée chez chaque client par un *service principal*. Le client consent à des permissions Microsoft Graph nécessaires au service de sauvegarde. En authentification « app-only », l’application obtient un jeton et agit sans session interactive d’un utilisateur. Le fournisseur doit donc protéger ses certificats et secrets comme des accès privilégiés à l’ensemble des tenants qui lui ont donné leur consentement.

L’attaquant a obtenu le contrôle d’identités d’application liées à ConnectWise. Microsoft observe ensuite des authentifications depuis son infrastructure et, **dans certains tenants**, des appels Graph de reconnaissance, des modifications d’identifiants d’application et des changements de rôles ou de groupes. Une nouvelle credential ajoutée à une autre identité peut garder un chemin d’accès après la révocation de la première. C’est pourquoi couper seulement le certificat compromis ne prouve pas que le tenant est revenu à l’état initial.

Microsoft décrit l’emploi d’**ARTEX**, un cadre d’automatisation offensive utilisant des agents IA, pour accélérer l’exploration et les actions après l’obtention des identifiants. Ce détail explique la cadence ; il ne change pas le mécanisme d’autorisation. Ce sont les permissions déjà consenties et les credentials volés qui ouvrent la porte. La campagne de password spraying observée auparavant est distincte : Microsoft y rapporte plus de 151 000 échecs, mais aucune authentification réussie dans ce sous-ensemble.

## Lire les journaux par étapes

Une enquête doit d’abord inventorier les applications ConnectWise et leur **Object ID local**, puis rechercher les connexions du service principal. On corrèle ensuite l’heure, l’IP et l’ID d’application avec les appels Graph : lecture de répertoire, ajout de credential, attribution de rôle et accès aux ressources. Enfin, on recherche les identités secondaires créées ou modifiées. La [publication Microsoft](https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/) fournit des requêtes de chasse et les identifiants d’application concernés. La présence de l’application, et même une authentification réussie, ne démontrent pas à elles seules une exfiltration de données.

ConnectWise a désactivé les identités et révoqué les certificats associés, suspendant Cloud Backup et des services liés. Le fournisseur précise que les archives de sauvegarde existantes restent chiffrées et isolées, sans indice de compromission de ces archives ; cela ne répond pas à la question de l’activité éventuelle dans le Microsoft 365 vivant de chaque client. Au **4 novembre**, la restauration et le réenrôlement progressent encore par étapes. Les administrateurs doivent suivre les consignes de restauration du fournisseur et vérifier séparément leur tenant et ceux qu’ils gèrent.

**Sources principales :** [avis et chronologie ConnectWise](https://www.connectwise.com/company/trust/advisories), [analyse et requêtes Microsoft](https://www.microsoft.com/en-us/security/blog/2026/10/21/storm-0940-uses-artex-agentic-ai-connectwise-supply-chain-compromise/).