2 900 connexions par minute, et une clé volée
Un groupe lié à la Chine a automatisé ses attaques avec des agents d'IA. Le martelage à 2 900 tentatives par minute a échoué : l'accès est venu d'une application de sauvegarde, puis d'un accès qui survit au nettoyage.
Actualité du 23 octobre 2026 · 1 min 27 · 4 sources · 13 affirmations sourcées
En 30 secondes
L'essentiel
- La vitesse d'une attaque automatisée ne fait pas tout : ici, le martelage à 2 900 essais par minute a échoué, et l'accès est venu d'une clé d'application déjà approuvée.
- Un prestataire compromis ouvre ses clients : l'application de sauvegarde avait déjà accès aux espaces Microsoft 365, il n'y avait donc pas de mot de passe à deviner.
- Modifier les identifiants d'une application laisse un accès qui survit à la remédiation : la rotation des secrets fait partie du nettoyage.
Ce qui est établi, et ce qui ne l'est pas
Chaque affirmation de l'épisode, son statut et ses sources.
- ÉtabliDepuis septembre 2026, Storm-0940, acteur aligné sur la Chine, utilise le cadre de pentest agentique ARTEX pour automatiser des attaques contre des centaines d'organisations
- ÉtabliPic de 2 900 échecs d'authentification par minute le 11 octobre ; plus de 151 000 échecs sur la campagne, dont plus de 111 000 sur une seule journée
- Établi327 comptes visés dans huit organisations entre le 10 et le 14 octobre ; aucune authentification réussie observée sur cette campagne
- ÉtabliAprès l'accès non autorisé à ConnectWise Cloud Backup, plus de 2 250 tentatives de connexion à des espaces Microsoft 365
- ÉtabliAccès privilégié obtenu chez plusieurs organisations, parfois en moins de trois heures
- ÉtabliLes agents ont atteint Microsoft Graph : reconnaissance, modification des identifiants d'application, changements touchant identités, groupes et rôles privilégiés
- ÉtabliLa modification des identifiants d'application peut rester un accès actif après la remédiation de l'application compromise
- ÉtabliSept identités d'application ConnectWise désactivées le 17 octobre à 07:00 UTC ; cela empêche de nouvelles authentifications mais n'annule pas les changements déjà faits dans un tenant
- ÉtabliCloud Backup suspendu, archives chiffrées et isolées, restauration annoncée pour la fin du week-end
- RapportéSelon Huntress, des identifiants d'application compromis ont servi à accéder à des centaines de tenants Microsoft 365, dont plus de 300 tenants Entra
- ÉtabliMicrosoft ne confirme ni accès ni exfiltration de données client ; la présence d'une application affectée, ou une authentification réussie, ne le prouve pas
- ÉtabliRecommandations : examiner les connexions de principaux de service et l'activité Graph qui suit, faire tourner les secrets applicatifs, ne pas supprimer l'application avant d'avoir conservé les preuves
- InconnuNombre de comptes ou de boîtes mail réellement consultés, et données éventuellement exfiltrées : non établis
Transcription
Le 11 octobre, une seule machine a tenté 2 900 connexions par minute. Pas un humain : des agents d'IA, lancés contre Microsoft 365. Et pourtant, ce n'est pas comme ça qu'ils sont entrés.
CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.
Mais comment une IA entre-t-elle dans un nuage ?
Depuis Internet, tout part d'un prestataire. ConnectWise sauvegarde les données de ses clients, et son application a déjà leur confiance. Des identifiants applicatifs sont volés : l'agent se connecte sans mot de passe, et vise plus de 2 250 espaces clients. Il atteint Microsoft Graph, l'annuaire, les groupes, les rôles. Parfois en moins de trois heures.
Ce qu'on sait : sept identités d'application ont été désactivées le 17 octobre. Désactiver ne défait pas ce qui a déjà été changé dans un tenant. Ce qu'on ignore : combien de boîtes mail ont été lues, et ce qui a été emporté.
Trois réflexes. Surveiller les connexions d'applications, et ce qu'elles font ensuite dans Graph. Faire tourner les secrets de toutes les applications tierces. Et conserver les preuves avant de supprimer une application.
Elle avait la clé. Une machine n'a plus besoin de dormir pour chercher une porte.
Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : savez-vous quelles applis ont accès à vos mails ?
La suite
Continuer
1 min 35Des agents IA à l'assaut des sites marchands
1 min 50Un seul mot de passe, des centaines d'entreprises
1 min 4894 minutes pour piéger l'outil d'OVHcloud
Ne pas manquer le prochain épisode
Le flux RSS annonce chaque nouvel épisode, sans compte ni inscription.
L'actu cyber complète du jour
Les 10 actualités du vendredi 23 octobre 2026, dont celle-ci, avec leurs sources.