Un identifiant compromis de ConnectWise Cloud Backup a servi à accéder à 173 tenants Microsoft 365, selon des chercheurs.

Des chercheurs en cybersécurité tirent la sonnette d’alarme. En effet, une campagne active exploite un identifiant Microsoft 365 (M365) compromis. Cet identifiant est lié à ConnectWise Cloud Backup, anciennement connu sous le nom de SkyKick. Grâce à ce sésame, des attaquants non identifiés accèdent sans autorisation aux environnements M365 de clients. Ainsi, 173 tenants Microsoft 365 auraient vu une connexion illégitime, d’après les informations disponibles.

Ce que l’on sait de la campagne

Pour l’instant, les auteurs de l’attaque restent inconnus. Par ailleurs, aucun groupe malveillant n’a été désigné publiquement. En revanche, le mécanisme général est clair. Les pirates ne forcent pas les défenses des victimes. Ils utilisent un identifiant légitime, déjà compromis, rattaché à un service de confiance.

Cette approche présente un avantage majeur pour l’attaquant. En effet, une connexion réalisée avec un compte associé à un fournisseur connu peut paraître normale. Elle risque donc de passer inaperçue dans les journaux d’activité. Par conséquent, la détection devient plus difficile pour les équipes de sécurité.

Par ailleurs, le nombre de tenants concernés montre l’ampleur potentielle de l’incident. En effet, un seul identifiant suffit ici à ouvrir de nombreuses portes. Cette démultiplication est typique des attaques qui visent la chaîne d’approvisionnement.

Pourquoi ConnectWise Cloud Backup intéresse les attaquants

ConnectWise Cloud Backup est un service de sauvegarde et de restauration dans le cloud. Il est conçu pour les prestataires de services managés, ou MSP. En effet, ces derniers gèrent l’informatique de nombreuses entreprises à la fois. Ils disposent donc souvent d’accès étendus aux environnements de leurs clients.

Une solution de sauvegarde pour M365 doit lire une grande quantité de données. Elle touche notamment les messageries, les fichiers et les calendriers. Pour fonctionner, elle demande des autorisations élevées. Ainsi, quiconque détourne ce type d’accès obtient un point d’entrée très précieux.

De plus, les MSP concentrent les risques. Si un acteur de la chaîne est compromis, tous ses clients peuvent être exposés. C’est pourquoi les cybercriminels ciblent de plus en plus ces prestataires. En effet, un seul succès leur ouvre l’accès à des dizaines d’organisations.

Les risques pour les clients de ConnectWise Cloud Backup

Les détails complets de l’intrusion ne sont pas tous connus. Il faut donc rester prudent sur l’impact réel. Néanmoins, un accès non autorisé à un tenant M365 comporte des dangers bien identifiés.

• Consultation de données sensibles : courriels, documents, contacts et fichiers partagés.
• Persistance : création de comptes, d’applications ou de règles de messagerie pour garder l’accès.
• Rebond : usage de la boîte compromise pour piéger des partenaires ou des collègues.
• Préparation d’autres attaques, par exemple une fraude au paiement ou un rançongiciel.

Cependant, rien dans les éléments communiqués ne confirme l’une de ces conséquences. Les organisations concernées doivent donc enquêter elles-mêmes. En effet, elles ne doivent pas attendre une notification pour agir.

Recommandations pour les organisations

D’abord, vérifiez si votre entreprise ou votre prestataire utilise ConnectWise Cloud Backup. Si c’est le cas, contactez votre MSP sans attendre. Demandez-lui ensuite un état précis de la situation et des mesures prises.

Ensuite, examinez les journaux de connexion de votre tenant Microsoft 365. Cherchez notamment les connexions inhabituelles liées au service de sauvegarde. Repérez également les adresses IP, les horaires et les lieux qui sortent de l’ordinaire.

Enfin, appliquez ces bonnes pratiques :

1. Passez en revue les applications d’entreprise et les consentements accordés dans Entra ID.
2. Révoquez les autorisations que vous ne reconnaissez pas ou qui ne sont plus utiles.
3. Limitez les accès des prestataires au strict nécessaire, selon le principe du moindre privilège.
4. Activez également des règles d’accès conditionnel pour les comptes de service quand c’est possible.
5. Surveillez notamment les règles de transfert de courriels et les nouvelles délégations de boîtes.
6. Faites tourner les secrets et les identifiants si vous suspectez une exposition.

Ce qu’il faut retenir

• Une campagne active abuse d’un identifiant M365 compromis de ConnectWise Cloud Backup (ex-SkyKick).
• Les attaquants, non identifiés, accèdent aux environnements M365 de clients, avec 173 tenants signalés.
• Le service vise les MSP, ce qui amplifie donc le risque pour leurs clients.
• Par conséquent, les entreprises doivent auditer leurs journaux, leurs applications et leurs autorisations.
• Enfin, le dialogue avec le prestataire est essentiel pour connaître l’étendue réelle de l’incident.

L’affaire rappelle une réalité simple. En effet, la sécurité d’une organisation dépend aussi de celle de ses fournisseurs. Ainsi, un accès légitime, mal protégé, peut devenir une porte d’entrée discrète et efficace.

Source : Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants