Le 16 octobre 2026, l’éditeur américain ConnectWise a suspendu en urgence l’accès de son service de sauvegarde cloud après avoir détecté des tentatives d’accès non autorisés visant les environnements Microsoft 365 de ses clients. Selon les éléments rapportés par LeMagIT le 19 octobre 2026, les attaquants ont exploité les droits OAuth accordés à l’application de sauvegarde pour interroger et manipuler à distance les tenants Microsoft 365 connectés. Aucun mot de passe utilisateur n’a eu besoin d’être dérobé chez les entreprises clientes : le canal de confiance préétabli entre le locataire cloud et l’outil tiers a suffi pour ouvrir l’accès.
Cet incident survient au terme d’une semaine marquée par une pression constante sur les points d’entrée périphériques des systèmes d’information. Le 15 octobre 2026, Microsoft, Proofpoint, Cloudflare, Oracle, Resecurity et TRM Labs ont annoncé une opération conjointe contre l’infrastructure du kit d’hameçonnage CoGUI et de 2 autres plateformes responsables de 1 milliard de messages malveillants dirigés vers 75 000 organisations. Tandis que les directions informatiques renforcent l’authentification multifacteur des collaborateurs face à ces campagnes, les intégrations applicatives OAuth offrent aux attaquants une voie de contournement qui ignore totalement la validation sur téléphone mobile.
Pour se prémunir contre la perte de données ou le chiffrement de leur messagerie, les PME et les ETI souscrivent massivement à des solutions tierces de sauvegarde pour Microsoft 365. Le principe technique est toujours identique : pour copier chaque nuit les boîtes aux lettres Exchange Online, les espaces SharePoint, les fichiers OneDrive et les conversations Teams de l’ensemble de l’entreprise, l’outil externe doit recevoir une autorisation globale au niveau de l’annuaire Entra ID.
Lors de la mise en service, un administrateur global valide un consentement OAuth qui crée une identité applicative disposant de droits de lecture, et souvent d’écriture pour permettre la restauration, sur la totalité des données collaboratives de l’organisation. Ce mécanisme fonctionne de machine à machine par l’intermédiaire de jetons cryptographiques ou de certificats applicatifs. Il n’est soumis ni aux politiques d’accès conditionnel destinées aux humains, ni au renouvellement périodique des mots de passe des salariés.
L’alerte déclenchée autour de ConnectWise le 16 octobre 2026 illustre le revers de cette architecture. Lorsqu’un groupe malveillant parvient à compromettre l’infrastructure d’un fournisseur de sauvegarde ou à détourner le mécanisme d’autorisation OAuth qu’il utilise, les droits étendus accordés pour protéger les données deviennent un canal d’exfiltration directe. La suspension d’urgence décidée par l’éditeur a limité l’exploitation, mais elle rappelle à chaque DSI qu’un outil de sécurité externe détient, par construction, les clés du coffre qu’il est censé sauvegarder.
L’affaire ConnectWise ne constitue pas un cas isolé au cours de ce mois d’octobre 2026. Sur une période de moins de 7 jours, les autorités françaises et la presse spécialisée ont documenté plusieurs campagnes ciblant spécifiquement les briques techniques chargées de protéger ou d’administrer le système d’information.
Le 14 octobre 2026, le CERT-FR a publié l’alerte CERTFR-2026-ALE-013 relative à la vulnérabilité CVE-2026-104935 affectant les passerelles VPN Ivanti Connect Secure. Bien qu’un correctif ait été diffusé dès le mois de juillet 2026, LeMagIT soulignait le 15 octobre 2026 que cette faille restait activement et discrètement exploitée contre des organisations ayant tardé à mettre à jour leurs équipements ou n’ayant pas vérifié la persistance d’accès déposés avant le correctif. Le 15 octobre 2026 également, le CERT-FR a émis l’avis CERTFR-2026-AVI-1325 concernant la faille CVE-2026-76519 sur Cisco AsyncOS pour Secure Email Gateway, elle aussi exploitée activement par des attaquants.
Passerelles d’accès distant, relais de sécurisation des courriels, services de sauvegarde cloud Microsoft 365 : la logique des attaquants est constante. Plutôt que de tenter de piéger individuellement des centaines de salariés désormais sensibilisés et équipés de clés d’authentification forte, les groupes d’intrusion ciblent les composants techniques qui bénéficient déjà d’un privilège permanent au cœur du réseau ou du tenant cloud.
Au-delà des outils de sauvegarde administrés par la DSI, la majorité des environnements Microsoft 365 ou Google Workspace accumulent au fil des mois des dizaines d’applications tierces autorisées sans contrôle centralisé. Un collaborateur qui connecte un assistant de prise de notes par intelligence artificielle à son calendrier, un commercial qui relie une extension de prospection à sa boîte Outlook, ou un service financier qui branche un outil d’automatisation documentaire sur SharePoint génèrent autant de jetons d’accès persistants.
Lorsque l’employé quitte l’entreprise ou change de mot de passe, les administrateurs pensent souvent avoir coupé tous les accès associés. Or, un consentement accordé à l’échelle de l’organisation ou un jeton d’actualisation valide continue fréquemment de fonctionner tant qu’il n’est pas explicitement révoqué dans la console d’administration Entra ID. De plus, les journaux d’activité de ces connexions par interface de programmation (API) sont rarement surveillés avec la même attention que les connexions interactives des utilisateurs.
Pour un attaquant qui prend le contrôle d’un éditeur SaaS secondaire, cette négligence est une aubaine. Une requête API qui télécharge l’intégralité des pièces jointes d’une direction générale à 2 heures du matin ressemble, dans les journaux standards, à une synchronisation ou à une indexation habituelle.
Un dirigeant ou un DSI qui souhaite réduire son exposition face à la compromission d’un fournisseur cloud ne peut pas se contenter d’un contrat d’assurance ou d’une clause juridique. Il doit traiter chaque application tierce connectée à son annuaire comme un prestataire externe disposant d’un badge d’accès permanent. Plusieurs mesures techniques et organisationnelles s’imposent dès maintenant :
La multiplication des incidents impliquant des éditeurs de confiance modifie les exigences des auditeurs et des assureurs cyber en cette fin d’année 2026. Déployer le MFA sur 100 % des boîtes aux lettres humaines reste indispensable, comme le confirme le volume de 1 milliard de messages d’hameçonnage traité lors du démantèlement de CoGUI le 15 octobre 2026. Mais cette barrière perd son efficacité si 30 applications tierces conservent parallèlement un accès permanent et non supervisé au même patrimoine d’informations.
Intégrer la revue trimestrielle des jetons OAuth, des comptes de service et des équipements de sécurité périphériques dans le tableau de bord du comité de direction permet de refermer la brèche avant que la défaillance d’un éditeur externe ne se transforme en violation de données interne.
Du protocole MCP au Cyber Resilience Act, le déploiement d’agents IA autonomes oblige les DSI et RSSI à refondre la gouvernance des accès aux données.
1-3 Rue d’Enghien
75010, Paris
France
Recevez les actualités du site Cyberdian.
