:quality(90):no_upscale()){kind=logo}
Une attaque contre la chaîne d'approvisionnement orchestrée par l'IA a permis d'obtenir un accès privilégié au cloud en moins de trois heures
STATUT : Campagne sur la chaîne d'approvisionnement des États-nations GREVEITÉ : 8/10 PUBLIC CIBLE : Responsables gouvernementaux, de la défense et de la sécurité des infrastructures critiques
6 novembre 2026
·Blog
·Communications sécurisées
:quality(90):no_upscale())
Microsoft attribue la compromission de ConnectWise Cloud Backup à Storm-0940, un acteur lié à l’État chinois qui a utilisé ARTEX, un cadre de tests d’intrusion basé sur l’IA agentique, contre des centaines d’organisations issues de secteurs tels que le gouvernement, l’armée, l’aérospatiale et la défense, ainsi que l’énergie. À l’aide d’identifiants d’application volés, les agents ont tenté de se connecter à plus de 2 250 locataires Microsoft 365 en aval et, dans de nombreux cas, ont obtenu un accès privilégié au cloud moins de trois heures après le ciblage initial. Cette rapidité laisse peu de temps aux responsables de la sécurité pour coordonner une réponse.
Que s'est-il passé ?
Des agents travaillant 24 heures sur 24 ont réduit à moins de trois heures le délai entre le ciblage et l'obtention d'un accès privilégié.
Le 21 octobre, Microsoft a attribué la compromission de la chaîne d’approvisionnement de ConnectWise, récemment révélée, à Storm-0940, un acteur lié à l’État chinois actif depuis 2021 qui cible des organisations issues de nombreux secteurs dans le but de voler des données. Depuis au moins septembre, cet acteur a utilisé ARTEX, un système multi-agents open source capable d’effectuer un test d’intrusion autonome allant de la reconnaissance à l’exfiltration de données, contre des centaines d’organisations à travers le monde. Parmi les secteurs visés figurent l’aérospatiale et la défense, l’énergie, les services financiers, les administrations publiques et l’armée.1
ConnectWise a révélé le 16 octobre un accès non autorisé lié à son service Cloud Backup. L'auteur de l'attaque a pris le contrôle de plusieurs identités d'applications cloud de ConnectWise et les a utilisées pour s'authentifier dans les environnements Microsoft 365 des clients en se faisant passer pour ces applications, sans connexion interactive de l'utilisateur. Les agents ont tenté de se connecter à plus de 2 250 locataires, mais Microsoft indique que la plupart de ces tentatives ont échoué. Dans certains environnements, ils ont poursuivi leurs opérations sur Microsoft Graph et dans l'annuaire, notamment en modifiant les identifiants des applications ainsi que les identités, les groupes et les rôles privilégiés.1
Les données de Microsoft illustrent cette cadence. Lors d’une phase de « password-spray » menée du 10 au 14 octobre, cette même infrastructure a généré plus de 151 000 tentatives de connexion infructueuses sur 327 comptes au sein de huit organisations, avec un pic de 2 900 échecs par minute, sans aucune authentification réussie. Les chiffres de Microsoft concernant la phase en aval indiquent plus de 200 connexions en moins de quatre minutes à l’aide de quatre identifiants d’application et, dans plusieurs cas, un accès privilégié moins de trois heures après le ciblage initial.1
La persistance constitue le risque à long terme. Microsoft indique que les modifications apportées aux identifiants par les agents de l’acteur peuvent persister via d’autres identités, identifiants et services cloud, et peuvent subsister sous forme de porte dérobée même après la correction de l’application initialement compromise. Microsoft a également observé la lecture à grande échelle de secrets dans plusieurs Azure Key Vaults.1
Les recommandations de Microsoft en matière de confinement invitent les organisations à maintenir désactivées les connexions aux applications ConnectWise concernées, à conserver la configuration et les preuves avant d’effectuer des modifications irréversibles, à passer en revue chaque locataire sur lequel les applications ont été installées ou autorisées, et à examiner les journaux de connexion et d’audit remontant au moins au 15 octobre. Microsoft souligne également que la rapidité des activités pilotées par l’IA laisse peu de temps aux responsables de la sécurité pour réagir aux alertes et remédier de manière coordonnée à l’accès de l’acteur malveillant.1 Ces recommandations doivent être mises en œuvre par une équipe dont l’environnement Microsoft 365, y compris la messagerie électronique et Teams, fait partie du périmètre de l’enquête.
Ce qu'ils ont découvert et ce que cela signifie
Conclusion | Ce que cela signifie | Conséquence opérationnelle | Question ouverte |
Storm-0940 a utilisé des agents ARTEX pour tenter de se connecter aux comptes de plus de 2 250 locataires et, à plusieurs reprises, a obtenu un accès privilégié au cloud en moins de trois heures. | L'IA agentique réduit le délai entre le ciblage et la compromission à une durée plus courte que celle envisagée par la plupart des processus de réponse aux incidents. | Les alertes ne peuvent se déclencher qu'une fois l'accès privilégié obtenu ; la riposte commence donc alors que l'attaquant est déjà en place. | Combien d'entreprises disposent d'un processus d'intervention capable de maîtriser une intrusion dans le cloud en quelques heures, y compris en dehors des heures de bureau ? |
L'acteur a authentifié en tant qu'applications de fournisseurs de confiance celles que les clients avaient déjà autorisées, sans connexion interactive de l'utilisateur. | Les contrôles liés à la connexion des utilisateurs, y compris l'authentification à plusieurs facteurs (MFA), ne comportent aucune étape à suivre. | Le niveau d'exposition dépend des applications des fournisseurs qui disposent d'un accès privilégié à un locataire, quel que soit le niveau de protection dont bénéficient les utilisateurs. | Combien d'organisations sont en mesure de répertorier toutes les applications tierces disposant d'un accès privilégié à leur tenant, ainsi que les autorisations dont chacune dispose ? |
Les modifications apportées aux identifiants de l'acteur peuvent persister après la remise en état de l'application initialement compromise ; Microsoft recommande donc de conserver les preuves avant d'effectuer des modifications irréversibles. | Le confinement consiste en une séquence minutieuse d'étapes qui s'exécute alors que le locataire peut encore être accessible à l'attaquant. | L'équipe chargée de coordonner les mesures de confinement travaille au sein même de l'environnement faisant l'objet de l'enquête, et ses propres e-mails et discussions en ligne sont inclus dans le périmètre de l'enquête. | Les plans d'intervention précisent-ils comment l'équipe doit communiquer lorsque le fournisseur hébergeant les services de messagerie électronique et de chat fait lui-même l'objet d'une enquête ? |
Pourquoi est-ce important ?
Vieille Assomption | Réalité actuelle | Réponse de BlackBerry |
En cas de compromission du cloud, une équipe d'intervention peut assurer la coordination via les canaux habituels de messagerie électronique et de chat de l'organisation. | Selon les recommandations de Microsoft, tous les locataires sur lesquels les applications concernées ont été autorisées sont concernés par cette vulnérabilité ; l'acteur malveillant a en effet toujours utilisé des applications compromises pour accéder aux e-mails et les exfiltrer via Microsoft Graph. | BlackBerry® AtHoc® est conçu pour permettre de joindre les collaborateurs sur leurs appareils mobiles et leurs téléphones, en dehors de la messagerie électronique et du réseau internes de l'organisation, afin que la coordination puisse se poursuivre pendant que le locataire fait l'objet d'une enquête. |
La désactivation d'une intégration compromise est une opération rapide et autonome. | La mise en place de mesures de confinement implique de désactiver les applications, de préserver les preuves, d'examiner les journaux d'audit remontant au moins au 15 octobre et d'évaluer l'impact sur les processus de sauvegarde et de restauration, qui concernent souvent de nombreux locataires et équipes. | BlackBerry AtHoc peut coordonner cette séquence entre les équipes et les régions, avec accusé de réception. BlackBerry® SecuSUITE® offre aux intervenants un canal sécurisé pour la prise de décisions sensibles. |
L'authentification MFA et les mesures de protection des utilisateurs couvrent les voies d'accès à un locataire Microsoft 365. | L'authentification exclusivement via une application, par l'intermédiaire d'une application fournisseur déjà autorisée, ne nécessite aucune connexion interactive de la part de l'utilisateur pour que ces mesures de protection puissent s'appliquer. | BlackBerry AtHoc et les solutions BlackBerry d'SecuSUITE t destinées à la phase de réponse, car la gestion des autorisations des applications des fournisseurs relève d'une fonction liée à l'identité qui ne fait pas partie de ces produits. |
Mesures recommandées
IMMÉDIAT | Identifiez tous les locataires sur lesquels les applications ConnectWise concernées sont ou ont été installées ou autorisées, en effectuant une recherche par identifiant d'application et non par nom d'affichage, et maintenez ces connexions désactivées jusqu'à ce que ConnectWise fournisse des instructions de restauration. |
IMMÉDIAT | Conservez les journaux de connexion et d'audit d'Entra ainsi que les données d'audit de Microsoft 365 avant d'effectuer des modifications irréversibles, et examinez les connexions des entités de service ainsi que les modifications apportées aux identifiants, aux rôles et aux privilèges depuis au moins le 15 octobre. |
À COURT TERME | Répertoriez les applications tierces disposant d'un accès privilégié à vos locataires, appliquez le principe du « moindre privilège » à leurs autorisations et surveillez les ajouts d'identifiants ainsi que les attributions de privilèges. |
À COURT TERME | Convenir des modalités de communication et de prise de décision de l'équipe d'intervention au cas où le fournisseur hébergeant les services de messagerie électronique et de chat ferait l'objet d'une enquête, puis tester ce canal de communication. |
EN COURS | Prévoyez des délais de réponse adaptés aux attaques automatisées, car Microsoft indique qu'un accès privilégié peut être obtenu en moins de trois heures. |
Poste chez BlackBerry
Le rapport de Microsoft décrit une attaque dont la rapidité est le point central : des agents opérant 24 heures sur 24 sont passés, en quelques heures seulement, de la phase de ciblage à l'obtention d'un accès privilégié, via une application d'un fournisseur à laquelle les clients faisaient déjà confiance. Les défenseurs disposent de peu de temps et la tâche de contenir l'attaque incombe à une équipe dont le propre tenant fait partie de l'enquête. Les organisations qui se préparent à ce scénario, en mettant en place un canal de coordination en dehors de l'environnement faisant l'objet de l'enquête, peuvent mener leur intervention sans dépendre des systèmes dans lesquels l'attaquant pourrait s'être infiltré.
Références :
1. Microsoft Threat Intelligence et Microsoft Security Research : une campagne à grande échelle menée par un État-acteur et pilotée par l’IA à l’aide d’ARTEX permet de compromettre la chaîne d’approvisionnement, (Blog Microsoft Security, 21 octobre 2026, mis à jour le 26 octobre 2026).
:quality(90):no_upscale())