Un seul mot de passe, des centaines d'entreprises

Un secret applicatif de l'outil de sauvegarde ConnectWise a donné accès aux boîtes mail et aux fichiers de centaines de clients Microsoft 365. Couper le service ne referme pas les accès ajoutés à l'intérieur.

Actualité du 19 octobre 2026 · 1 min 50 · 4 sources · 13 affirmations sourcées

En 30 secondes

Un secret applicatif volé ouvre les données de tous les clients où l'application est consentie, sans voler le mot de passe d'un seul salarié.
Couper le service et révoquer le secret ne suffisent pas : les jetons déjà émis et les secrets ajoutés dans les comptes survivent.
La vérification utile est celle des connexions d'applications, pas seulement des connexions d'utilisateurs.

Les faits

Ce qui est établi, et ce qui ne l'est pas

Chaque affirmation de l'épisode, son statut et ses sources.

ÉtabliUn secret applicatif de ConnectWise Cloud Backup a servi à obtenir des jetons Microsoft Graph dans les tenants de ses clients[1][2][3]
ÉtabliLes connexions ont eu lieu le 15 octobre 2026 depuis une adresse IP d'hébergeur, 144.172.64.128[2][3][4]
ÉtabliPlus de 300 entreprises touchées sur près de 1 000 contactées ; 162 tenants avec connexion non autorisée confirmés au 16 octobre à 19 h UTC[2]
ÉtabliL'application disposait de droits de lecture et d'écriture sur les boîtes mail, OneDrive, SharePoint et Teams[3][2]
ÉtabliAuthentification application seule, sans utilisateur ni MFA[3][2]
ÉtabliDans un tenant, l'application Cloud Management pour Teams s'est ajoutée au rôle Global Administrator puis a ajouté des secrets clients à deux autres applications[2][4]
ÉtabliConnectWise a désactivé sept identités applicatives le 17 octobre à 07:00 UTC et révoqué les certificats ; les jetons déjà émis peuvent rester valides jusqu'à leur expiration, jusqu'à 90 minutes[1][3]
ÉtabliLa désactivation des applications n'annule pas les identifiants, secrets ou permissions ajoutés dans les tenants[1][2]
RapportéSelon ConnectWise, les archives de sauvegarde sont restées chiffrées et isolées, sans indice d'accès[1]
InconnuLe vecteur de fuite du secret, l'auteur de l'attaque et le nombre total de victimes restent inconnus[1][2]
ÉtabliAucune copie de données n'a été confirmée ; les lectures d'annuaire via Microsoft Graph ne laissent pas de trace d'audit[2][3]
ÉtabliRecommandations : désactiver l'application sans la supprimer, auditer les connexions des applications, chercher les secrets ajoutés depuis le 13 octobre[2][1]
ÉtabliConnectWise indique ne pas pouvoir déterminer seul si un client donné a été touché[1]

Transcription

Le 15 octobre, un seul secret a ouvert les boîtes mail de plus de 300 entreprises. Personne n'a volé le mot de passe d'un seul salarié.

CyberFlash, c'est l'émission cybersécurité de DecodeVox. Ici, on ne s'arrête pas aux gros titres : on décrypte les attaques, on révèle leurs mécanismes et on explique ce qu'elles changent concrètement.

Selon Huntress, plus de 300 entreprises ont été touchées, sur près de 1 000 contactées. Le 16 octobre, le décompte était encore de 162. L'attaquant avançait par ordre d'identifiant, quelques secondes par client. Derrière : des boîtes mail lisibles, des fichiers, des conversations Teams. Des données accessibles, mais aucune copie confirmée.

Mais comment un seul mot de passe ouvre des centaines d'entreprises ?

Tout part d'Internet. Un attaquant obtient le secret d'une application de sauvegarde, un mot de passe de machine. Avec ce secret, il demande un jeton à Microsoft, au nom de l'application. Elle est déjà consentie chez des centaines de clients : il peut lire leurs boîtes mail, leurs fichiers et leurs conversations Teams.

Ce qu'on sait : le secret a servi le 15 octobre, et ConnectWise a coupé son service le 17. Ce qu'on ignore : comment il a fuité, qui est derrière, et combien d'entreprises ont vraiment été touchées. ConnectWise dit ne pas pouvoir déterminer seul si un client donné a été touché. Aucune attribution.

La leçon vaut pour tous ceux qui délèguent leur messagerie. Désactiver l'application, sans la supprimer. Auditer les connexions des applications, pas seulement celles des utilisateurs. Et chercher les secrets ajoutés depuis le 13 octobre, y compris sur les outils de sécurité.

Un mot de passe de machine peut ouvrir bien plus qu'une machine. Cette fois, il a ouvert les boîtes mail de centaines d'entreprises.

Pour aller plus loin, retrouvez l'édition complète du jour sur notre plateforme en ligne, le lien en description. Abonnez-vous à DecodeVox pour ne rien manquer de nos prochains décryptages. Et dites-nous en commentaire : savez-vous quelles applis lisent vos mails ?

Les mots de l'épisode

Secret applicatif: Mot de passe de machine qu'une application utilise pour s'authentifier sans aucun utilisateur. S'il fuit, il ouvre les droits de l'application partout où elle est installée.
Jeton: Badge d'accès temporaire délivré par Microsoft. Il reste valide jusqu'à son expiration, même si le secret qui a servi à l'obtenir est révoqué entre-temps.
Application consentie: Logiciel tiers qu'un administrateur a autorisé à accéder aux données de son entreprise. Ces autorisations sont souvent accordées une fois et rarement revues.
Prestataire informatique: Société qui gère l'informatique de ses clients. Elle installe des outils dans leurs comptes, souvent sans que le client en connaisse la liste.

Sources