Tech

Le piratage de ConnectWise a ouvert une porte vers 2.250 entreprises. Microsoft décrit une attaque chinoise massive, automatisée et très difficile à stopper.

En bref

• 2.250 organisations visées après la brèche ConnectWise
• Des agents IA ont accéléré l’attaque
• Le service cloud a été suspendu

Presque 3.000 tentatives de connexion par minute. C’est ce rythme, plus que tout le reste, qui frappe dans l’attaque partie de ConnectWise. Pour les équipes sécu, ça change tout, parce qu’à cette cadence la fenêtre de détection se réduit à presque rien.

Une compromission chez ConnectWise, puis un effet domino

D’après Microsoft, des pirates alignés sur les intérêts de l’État chinois ont pénétré le service de sauvegarde cloud de ConnectWise. Ils y ont récupéré des identifiants applicatifs utilisés pour établir les liaisons de données entre l’éditeur et ses clients entreprises.

Le point clé est là. En volant ces identifiants, les attaquants pouvaient se connecter à l’environnement hébergé par Microsoft chez les clients comme s’ils étaient des utilisateurs autorisés. Derrière, l’accès ouvrait sur les e-mails, mais aussi sur d’autres fichiers. Bref, une chaîne de confiance a servi de raccourci.

Des connexions quasi instantanées dans 2.250 organisations

Microsoft chiffre l’opération à environ 2.250 organisations compromises ou visées par cette phase d’intrusion rapide. Le groupe a utilisé des agents d’IA pour automatiser les accès à un niveau rarement anodin, clairement pensé pour saturer le temps de réaction des défenseurs.

L’éditeur explique que cette vitesse laissait très peu de temps pour détecter puis contrer l’activité malveillante. Et on voit pourquoi. Quand les connexions s’enchaînent à cette échelle, les procédures classiques d’alerte, de validation et de coupure prennent du retard presque immédiatement.

ARTEX montre le virage opérationnel de l’IA offensive

La cadence de l’attaque est attribuée à l’usage d’agents IA, en particulier ARTEX, un framework open source conçu pour fonctionner avec des modèles d’IA afin de tester la résistance des défenses cyber. Sur le papier, l’outil sert au stress test. En pratique, on voit à quel point ce type de brique peut aussi accélérer une offensive réelle.

Le même logiciel avait déjà été impliqué dans une compromission récente des systèmes financiers de Corée du Sud. Microsoft relie cet épisode à des protections faibles et à l’absence d’authentification multifacteur sur beaucoup de systèmes.

ConnectWise coupe le service et tente de le rétablir

Face à l’incident, ConnectWise a suspendu l’accès à son système de sauvegarde cloud et a lancé une enquête. Je trouve la mesure logique, même si elle est lourde pour les clients, parce qu’elle dit une chose simple, la brèche est jugée suffisamment sérieuse pour couper avant de rouvrir.

Jeudi, l’entreprise indiquait travailler au rétablissement du service. Pour l’écosystème mobile et cloud, le signal est net, un fournisseur d’administration IT compromis peut devenir un multiplicateur d’accès à grande échelle.

Christophe Romei

Spécialiste Tech

Expert sur l'industrie du mobile depuis 2005

Nous apportons le plus grand soin à chaque article et nous appuyons sur des sources fiables. Personne n'est à l'abri d'une erreur : si vous en repérez une, signalez-la, nous la corrigerons au plus vite.

Sujets

Lisez Servicesmobiles.fr en priorité sur Google

Ajoutez-nous à vos sources préférées : nos articles remonteront plus haut dans votre actualité.

Le Garage des Telcos

Chaque semaine, entrez dans l’atelier des télécoms : un lieu d’analyse, de décodage et d’inspiration. Le Garage des Telcos vous emmène sous le capot de l’industrie mondiale des télécommunications pour décrypter les innovations, les stratégies.