Le fournisseur de sauvegarde est la nouvelle porte d'entrée, et l'IA vient de l'enfoncer

Parmi vos fournisseurs, lesquels pourraient se connecter à votre tenant Microsoft 365 à l'instant même, sans mot de passe, sans MFA et sans que personne ne le remarque ? Si vous ne savez pas répondre, l'incident ConnectWise Cloud Backup a été écrit pour vous.

En résumé: ConnectWise a suspendu Cloud Backup (anciennement SkyKick), ainsi que ses services SaaS Security et Cloud Management, après la détection d'une activité suspecte le 14 octobre. Cybersecurity Dive rapporte qu'un rapport de Microsoft relie la campagne à un groupe lié à la Chine, suivi sous le nom de Storm-0940. Selon ce rapport, le groupe a utilisé un outil de test d'intrusion open source reposant sur une IA agentique, baptisé Artex. Microsoft affirme avoir constaté des tentatives de connexion à plus de 2 250 tenants Microsoft 365, à raison de 2 900 tentatives par minute.

L'identifiant était l'attaque, pas le produit

Remarquez ce qui ne s'est pas produit. D'après Sophos, les connexions n'exigeaient ni mot de passe utilisateur ni MFA, car l'attaquant s'authentifiait avec l'identité d'application du fournisseur lui-même. Sophos indique que le balayage a été mené depuis un seul serveur pendant environ 96 minutes. L'éditeur précise aussi que l'on ignore comment l'identifiant a été obtenu.

C'est la vérité dérangeante de la conception des applications de sauvegarde multi-tenant. Les clients donnent leur consentement une fois, puis l'identité du fournisseur peut demander des jetons dans chaque tenant consentant. Comme l'a expliqué Jon Semon, de Huntress, à CyberScoop, quiconque détient l'identifiant peut demander des jetons dans tout tenant où l'application est installée, sans aucune action du client. Nous pensons qu'il s'agit d'une concentration de risque que la plupart des acheteurs n'ont jamais chiffrée. Vous avez acheté un service de sauvegarde. Vous avez aussi remis un passe-partout à un tiers, et sa sécurité est devenue la vôtre.

L'aspect sauvegarde aggrave les choses. Le résumé de SOCRadar note que ces produits exigent souvent de larges autorisations, pouvant inclure boîtes mail, fichiers et données d'annuaire. Ils atteignent en outre ces tenants par l'intermédiaire des MSP, à un seul rebond de nombreuses petites organisations. Pour un attaquant, c'est une position très efficace.

« Passer à l'échelle comme une start-up »: la vraie nouvelle

La partie IA mérite autant de scepticisme que de respect. Du scepticisme, car Huntress qualifie son analyse d'« hypothèse de travail »: un agent d'IA exécutant des outils scriptés, avec une intervention humaine occasionnelle. Du respect, car c'est l'échelle qui compte. Énumérer des tenants n'a jamais été difficile. Ce qui change, c'est le coût de l'étape suivante, comme la reconnaissance, l'élévation de privilèges ou la mise en place de persistance, sur des centaines de cibles à la fois.

Le PDG de ConnectWise l'a bien dit: l'IA permet aux attaquants de tester des connexions de confiance à ce que Microsoft appelle la « vitesse machine ». Nous ajouterions que les processus des défenseurs tournent toujours à vitesse humaine: tickets, e-mails de fournisseurs, revues hebdomadaires. Les chiffres de Microsoft font état de 151 000 échecs de connexion en quelques jours. La plupart des défenseurs ne peuvent pas endiguer un tel rythme à la main.

Une réserve sur l'attribution. D'autres sources, dont CyberScoop, indiquaient que l'acteur n'avait pas été identifié, et SOCRadar disait la même chose. L'attribution de Microsoft est arrivée plus tard. De plus, les chiffres d'ampleur ne correspondent pas tous à des compromissions confirmées. SOCRadar insiste: près de 1 000 tenants présentant une activité de connexion ne doivent pas être lus comme 1 000 violations.

Traiter la sauvegarde et les outils MSP comme du tier zéro

Voici notre position. Les équipes de sécurité protègent depuis longtemps les contrôleurs de domaine et les fournisseurs d'identité comme des joyaux de la couronne. Un connecteur de sauvegarde autorisé à lire et à écrire les e-mails et les fichiers, comme l'a décrit Todyl, relève du même niveau. Concrètement:

• Inventoriez toutes les applications tierces ayant reçu un consentement dans votre tenant, et recoupez-les par Application ID, non par nom d'affichage, comme le conseille ConnectWise.
• Déclenchez une alerte sur les connexions de service principals depuis des adresses IP inattendues. Ici, l'application est apparue depuis un serveur plutôt que depuis l'infrastructure Azure qui lui est normalement associée.
• Surveillez les applications qui s'attribuent des rôles ou ajoutent des secrets à d'autres applications. Huntress a observé exactement cela, ce qui signifie que désactiver l'application d'origine est nécessaire mais peut ne pas suffire.
• Ne supposez pas que le silence des journaux est un gage de sécurité. SOCRadar note que certaines lectures via Graph laissent une trace d'audit limitée.

Le grand perdant est l'ancien modèle de confiance, où l'attestation SOC d'un fournisseur tenait lieu de vos propres contrôles. Les gagnants sont les attaquants, jusqu'à ce que les acheteurs exigent des fournisseurs de sauvegarde l'isolation des identifiants et une visibilité au niveau des tenants. ConnectWise a elle-même déclaré que son architecture ne lui donne pas assez de visibilité sur les tenants en aval pour savoir qui a été touché.

Notre verdict: n'attendez pas le bilan post-incident. Si vous exploitez Microsoft 365 via un MSP, demandez cette semaine quelles identités de fournisseur détiennent un consentement, ce qu'elles peuvent toucher, et qui est alerté quand elles se comportent anormalement. L'IA n'a pas inventé cette faiblesse, mais elle a rendu son exploitation à grande échelle bon marché.