Le fournisseur de services informatiques a détecté un accès non autorisé à des identifiants applicatifs de sa plateforme Cloud Backup. Microsoft relie l'opération à un groupe de pirates associé à la Chine, qui aurait utilisé un outil de tests d'intrusion automatisé par l'IA.
ConnectWise poursuit ses opérations de sécurisation après une intrusion visant son environnement Cloud Backup, anciennement connu sous le nom de SkyKick. L'entreprise a identifié des accès non autorisés à des identifiants applicatifs et a suspendu plusieurs services par mesure de précaution.
Les perturbations concernent Cloud Backup, mais aussi SaaS Security et Cloud Management. Les opérations de sauvegarde planifiées, l'accès aux archives et les restaurations sont notamment indisponibles pendant la remise en état des services.
Le 21 octobre, Microsoft a attribué la campagne à Storm-0940, un groupe associé à la Chine. Selon ses chercheurs, les attaquants ont utilisé ARTEX, un cadre open source de tests d'intrusion capable d'automatiser certaines tâches à l'aide de modèles d'intelligence artificielle. La campagne aurait visé des centaines d'organisations dans plusieurs secteurs, notamment la finance, l'industrie, l'administration et les technologies.
Les clients doivent contrôler leurs propres environnements
ConnectWise indique que les archives de sauvegarde existantes restent chiffrées, isolées et préservées. L'entreprise précise toutefois que l'absence d'indice de compromission de ces archives ne permet pas d'exclure un accès non autorisé à l'environnement Microsoft 365 de certains clients.
Les partenaires et prestataires informatiques doivent donc examiner les journaux d'authentification, les modifications de permissions et les connexions inhabituelles dans les environnements qu'ils administrent. ConnectWise recommande de maintenir désactivées les connexions concernées jusqu'à la publication des instructions de rétablissement.
L'incident illustre le risque lié aux accès privilégiés détenus par les prestataires informatiques : une compromission chez un fournisseur peut nécessiter des vérifications chez chacun de ses clients. Pour les entreprises, la gestion des identités applicatives et la surveillance des accès tiers deviennent ainsi des éléments essentiels de la réponse à incident.
Suivez-nous