ConnectWise Cloud Backup (SkyKick) : une clé volée, 173 locataires Microsoft 365 ouverts
Votre PME n’a rien fait de travers, et pourtant quelqu’un a peut-être lu vos courriels. Le 15 octobre, l’identifiant de l’application ConnectWise Cloud Backup (anciennement SkyKick), un service de sauvegarde Microsoft 365 très utilisé par les fournisseurs TI, a servi à se connecter à des locataires Microsoft 365 de clients. Huntress a confirmé des connexions non autorisées dans 173 locataires. La clé n’a pas été volée chez les clients, mais chez le fournisseur : elle ouvrait donc toutes les portes où l’application était autorisée.
Si votre fournisseur TI sauvegarde votre Microsoft 365 avec ConnectWise Cloud Backup ou SkyKick, voici ce qui s’est passé, ce qu’il faut vérifier cette semaine et les questions à lui poser.
Ce qui s’est passé avec ConnectWise Cloud Backup
Pour sauvegarder vos courriels, vos fichiers et vos conversations Teams, l’application reçoit des droits étendus dans votre locataire. Elle s’authentifie avec un identifiant conservé dans le locataire de ConnectWise. C’est cet identifiant qui s’est retrouvé entre de mauvaises mains.
🔑
Identifiant de l’application ConnectWise Cloud Backup
Conservé chez le fournisseur, valide dans chaque locataire où l’application est autorisée
↙ ↓ ↓ ↓ ↘
🏢
Cabinet comptable
connexion confirmée
🏢
Clinique
connexion confirmée
🏢
Manufacturier
à vérifier
🏢
Agence
connexion confirmée
🏢
Votre PME?
à vérifier
🏢
Organisme
à vérifier
Illustration : une seule clé, plusieurs serrures. Huntress a confirmé des connexions non autorisées dans 173 locataires ; toute organisation où l’application est installée est potentiellement visée.
Chez un partenaire de Huntress, l’attaque est allée plus loin : une deuxième application, ConnectWise Cloud Management – MS Teams, s’est attribué le rôle d’administrateur général, puis a ajouté de nouveaux identifiants à deux autres applications du locataire. Autrement dit, des portes de service supplémentaires, qui restent ouvertes même une fois ConnectWise désactivé.
Chronologie : du 14 au 17 octobre
Heures de l’Est (HAE), d’après Huntress, ConnectWise et The Hacker News.
Pourquoi une application de sauvegarde a autant de pouvoir
Une sauvegarde complète de Microsoft 365 suppose de tout pouvoir lire. Les mêmes droits, utilisés par un pirate, donnent ceci :
| Accès accordé | Usage normal par l’application | Ce qu’un pirate peut en faire |
|---|---|---|
| 📧 Courriels (Exchange Online) | Copier chaque boîte aux lettres pour la sauvegarde | Lire les échanges avec vos clients, vos banques, vos fournisseurs : la matière idéale pour une fraude au virement |
| 📁 OneDrive et SharePoint | Copier les fichiers et les bibliothèques | Télécharger contrats, listes de clients, dossiers RH |
| 💬 Teams | Sauvegarder conversations et fichiers d’équipe | Lire les discussions internes, repérer qui approuve les paiements |
| 👥 Annuaire (utilisateurs, groupes, rôles) | Savoir quoi sauvegarder et pour qui | Cartographier l’entreprise, s’attribuer des rôles et ajouter des accès cachés |
Vérifier ConnectWise Cloud Backup dans votre Microsoft 365 : la console annotée
Voici, en simulation, ce qu’un administrateur pourrait trouver dans le centre d’administration Microsoft Entra d’une PME touchée.
Ce qu’il faut repérer
- 1L’application de sauvegarde est présente : si elle n’apparaît pas, retirez le filtre « Applications d’entreprise » et cherchez de nouveau.
- 2Une application qui détient un rôle d’administrateur que personne ne lui a donné : c’est exactement ce que Huntress a observé chez un partenaire.
- 3Le piège le plus sournois : un nouveau secret ajouté à une autre application. Désactiver ConnectWise ne l’efface pas.
Les 6 vérifications à faire cette semaine
Repérer l’application
Entra › Applications d'entreprise › rechercher « 506e08f9 » ou « SkyKick »
Faites la même recherche avec « ConnectWise ». En l’absence de résultat, retirez les filtres. Si rien n’apparaît, votre locataire n’utilise pas ce service.
La désactiver, sans la supprimer
Application › Propriétés › Activé pour la connexion des utilisateurs : Non
Huntress et ConnectWise recommandent de désactiver, pas de supprimer : désactiver ne touche pas aux sauvegardes déjà stockées chez ConnectWise. Faites de même pour les autres applications ConnectWise Cloud Management, et ne les réactivez pas avant que ConnectWise confirme que tous les identifiants ont été remplacés.
Lire le bon journal
Surveillance › Journaux de connexion › Connexions de principal de service
L’onglet affiché par défaut (connexions des utilisateurs) ne montre rien. Filtrez par l’ID de l’application et cherchez toute adresse IP hors des plages Microsoft et Azure, notamment 144.172.64[.]128. Dans le journal d’audit unifié, regardez aussi les accès inhabituels aux courriels, les téléchargements de fichiers et les changements d’annuaire du 14 au 16 octobre. Un journal propre ne prouve pas que rien n’a été lu.
Retirer les rôles inattendus
Entra › Rôles et administrateurs › Administrateur général
Aucune application de sauvegarde n’a besoin d’être administrateur général. Retirez tout rôle que vous n’avez pas accordé volontairement.
Passer en revue les secrets et certificats de TOUTES les applications
Entra › Inscriptions d'applications › Certificats et secrets
Cherchez tout secret ou certificat ajouté depuis le 13 octobre que personne chez vous n’a créé, surtout sur les outils de gestion et de sécurité. Supprimez-le après l’avoir documenté (date, application, empreinte).
Combler le trou de sauvegarde
Tant que Cloud Backup est suspendu, les sauvegardes planifiées ne roulent pas : les courriels et fichiers créés depuis le 17 octobre ne sont protégés nulle part. Prévoyez une copie temporaire des boîtes et bibliothèques essentielles, et faites confirmer par ConnectWise la conservation de vos archives.
Les questions à poser à votre fournisseur TI
Ces questions valent même si vous n’utilisez pas ConnectWise : chaque outil de sauvegarde, de gestion ou de sécurité branché sur votre Microsoft 365 détient une clé du même genre.
- Quelles applications tierces ont des droits dans notre locataire Microsoft 365, et lesquelles ne servent plus?
- Avez-vous vérifié les journaux de connexion des principaux de service, et qu’avez-vous trouvé?
- Nos sauvegardes Microsoft 365 ont-elles une deuxième copie, chez un autre fournisseur?
- Qui est alerté, et en combien de temps, quand un rôle d’administrateur ou un secret d’application est ajouté?
- Les applications de nos fournisseurs sont-elles limitées par des règles d’accès conditionnel (adresses IP, emplacements)?
La leçon pour toutes les PME
Les applications tierces sont devenues la nouvelle porte d’entrée de Microsoft 365. Elles ne passent pas par l’authentification multifacteur, elles travaillent la nuit et personne ne regarde leurs journaux. Tenez l’inventaire de ces applications, retirez celles qui ne servent plus et faites surveiller l’ajout de rôles et de secrets. Et une seule sauvegarde, chez un seul fournisseur, n’est pas une stratégie : l’incident IDCF Cloud l’a déjà montré.
Enfin, si des renseignements personnels ont pu être consultés, la Loi 25 vous oblige à évaluer le risque de préjudice et à inscrire l’incident dans votre registre des incidents de confidentialité.
Pour aller plus loin : nos services Microsoft 365, notre offre de sauvegarde et reprise après sinistre avec copie indépendante, notre surveillance proactive de vos systèmes, et l’arbre de décision sur les logiciels d’accès à distance détournés.
Réservez votre Bilan cyber gratuit
Vous ne savez pas quelles applications ont des droits dans votre Microsoft 365, ni si vos sauvegardes ont une deuxième copie? Le Bilan cyber gratuit passe en revue vos accès, vos sauvegardes et vos comptes administrateurs, et vous remet une liste de correctifs claire.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Sources
- Huntress, « ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks », 16 octobre 2026 (en anglais)
- Huntress Support, « 2026 – October SkyKick » (auto-évaluation) (en anglais)
- ConnectWise Trust Center, avis « Cloud Backup (formerly known as SkyKick) Service Interruption », mis à jour le 18 octobre 2026 (UTC) (en anglais)
- The Hacker News, « Hackers Use Compromised ConnectWise Credential to Sign In to 173 Microsoft 365 Tenants », 17 octobre 2026 (en anglais)
Photo : Brett Sayles, Pexels (licence Pexels).
2 thoughts on “ConnectWise Cloud Backup (SkyKick) : une clé volée, 173 locataires Microsoft 365 ouverts”