Des pirates informatiques liés à la Chine ont utilisé des agents IA dans la violation de ConnectWise Cloud Backup, selon Microsoft

Microsoft indique qu'un groupe aligné sur la Chine qu'il suit sous le nom de Storm-0940 est à l'origine de la compromission de ConnectWise Cloud Backup, et qu'il a utilisé ARTEX, un framework open-source de test de pénétration IA agentique, pour automatiser l'attaque [1]. Après la violation, le groupe a tenté de se connecter à plus de 2 250 tenants Microsoft 365, indique Microsoft [1][2].

Que s'est-il passé chez ConnectWise Cloud Backup ?

ConnectWise indique avoir identifié un accès non autorisé aux identifiants d'application associés à Cloud Backup, anciennement SkyKick, et avoir publié son premier avis le 16 octobre 2026 [2]. Ces applications multi-tenant disposaient déjà d'un accès de confiance aux environnements Microsoft 365 des clients [1].

Microsoft indique que le groupe Storm-0940 aligné sur la Chine a utilisé le framework IA ARTEX dans la compromission de ConnectWise Cloud Backup. À l'aide des identités d'application volées, les agents IA se sont authentifiés auprès des tenants clients sans connexion utilisateur interactive, selon Microsoft [1].

Dans certains environnements, les agents sont allés plus loin, indique Microsoft, dans la reconnaissance Microsoft Graph, les modifications d'identifiants d'application pour la persistance et les changements d'identités, de groupes et de rôles privilégiés [1]. Microsoft indique que l'activité ne résultait pas d'une compromission ou d'une vulnérabilité dans ses propres systèmes [1].

Comment l'IA a-t-elle accéléré l'attaque ?

Microsoft indique que le groupe a tenté de se connecter à plus de 2 250 tenants Microsoft 365 à raison de 2 900 tentatives par minute. Microsoft décrit ARTEX comme un système LLM multi-agents capable d'utiliser n'importe quel modèle IA et d'exécuter un test de pénétration de la reconnaissance à l'exfiltration de données avec peu d'interaction humaine [1].

Selon Microsoft, Storm-0940 utilise ARTEX depuis au moins septembre 2026 contre des centaines d'organisations, et dans de nombreux cas est passé du premier ciblage à l'accès cloud privilégié en moins de trois heures [1]. Microsoft indique que la plupart des ciblages n'ont pas abouti, mais que le groupe a tout de même obtenu une persistance cloud privilégiée dans de nombreuses organisations [1].

Que font ConnectWise et ses clients maintenant ?

ConnectWise indique avoir réinitialisé tous les comptes et identifiants dans l'environnement affecté le 19 octobre et restaurer les services par phases contrôlées, un processus qui devrait prendre plusieurs jours [2]. Il indique que les archives de sauvegarde existantes restent chiffrées, isolées et préservées, sans signe de compromission [2].

ConnectWise indique que son confinement ne supprime pas l'accès que les attaquants pourraient déjà avoir dans les tenants clients. Microsoft conseille aux clients de conserver les connexions affectées désactivées, de préserver les preuves et d'examiner les connexions des principaux de service à partir du 15 octobre au moins [1][2].

TechCrunch a rapporté que des milliers d'entreprises ont été espionnées après la violation [3]. Microsoft lui-même prévient qu'une application affectée ou une connexion réussie ne signifie pas nécessairement que des données ont été consultées ou exfiltrées [1].

Notre analyse

Opinion : L'outil n'est pas une nouvelle magie ; la pulvérisation de mots de passe et l'abus OAuth sont de vieilles astuces. Ce qui change, c'est le rythme : un identifiant fournisseur volé plus un framework agentique s'est transformé en milliers de tentatives de connexion aux tenants avant que la plupart des défenseurs n'aient lu le premier avis. Les permissions d'applications tierces méritent désormais la même vigilance que les comptes admin.

Ce que nous n'avons pas pu vérifier

• Si des données clients ont réellement été consultées ou exfiltrées ; Microsoft indique qu'une authentification réussie ne signifie pas nécessairement que des données ont été prises.
• Combien des tenants ciblés ont été compromis avec succès ; Microsoft indique que la plupart des ciblages n'ont pas abouti mais ne donne aucun chiffre.
• Le cadrage de TechCrunch selon lequel des milliers d'entreprises ont été espionnées ; le chiffre principal de Microsoft concerne les tentatives de connexion à plus de 2 250 tenants.
• Comment les attaquants ont d'abord obtenu les identifiants d'application ConnectWise ; ConnectWise indique que son enquête est en cours.
• Quels modèles IA Storm-0940 a exécutés dans ARTEX ; Microsoft ne le précise pas.