Cybersécurité : intrusion massive dans Microsoft 365 par des hackers chinois

La cybersécurité des services cloud est une fois de plus mise à l’épreuve. Une vaste campagne d’intrusion attribuée à un groupe de hackers soutenu par la Chine a exploité une faille majeure dans un système de sauvegarde largement utilisé par les entreprises. L’ampleur de l’opération et la sophistication des outils employés révèlent une menace d’une intensité rare.

Un groupe de pirates lié à Pékin identifié comme responsable

Microsoft a officiellement désigné Storm-0940, une organisation cybercriminelle liée au gouvernement chinois, comme l’auteur de cette intrusion massive. Le groupe a détourné les accès de ConnectWise Cloud Backup pour pénétrer dans les environnements Microsoft 365 de nombreuses organisations.

Cette attribution constitue une accusation sérieuse dans un contexte de tensions géopolitiques déjà marquées par des affrontements numériques entre grandes puissances.

Plus de 2 250 organisations dans le viseur

L’offensive a ciblé plus de 2 250 tenants Microsoft 365, selon les données révélées par Microsoft. Toutefois, l’entreprise n’a pas précisé combien de ces cibles ont effectivement été compromises avec succès.

Au 16 octobre, ConnectWise confirmait que 162 tenants présentaient des connexions non autorisées avérées. Un chiffre qui pourrait évoluer au fil de l’enquête approfondie menée actuellement.

Une faille dans l’authentification exploitée

Les pirates ont contourné les mécanismes de sécurité traditionnels. Les accès frauduleux ne nécessitaient ni mot de passe ni authentification multifacteur de la part des utilisateurs légitimes.

Les cybercriminels se sont authentifiés directement via des identités d’applications ConnectWise autorisées, exploitant ainsi une confiance accordée aux outils de l’éditeur au sein des systèmes Microsoft.

ARTEX, l’arme technologique de l’attaque

Pour mener cette reconnaissance à grande échelle, Storm-0940 a déployé ARTEX, un outil sophistiqué piloté par intelligence artificielle. Ce système multi-agents, développé en langage Go, a permis un balayage rapide et massif des environnements visés.

CrowdStrike, autre géant de la cybersécurité, a établi un lien entre ARTEX et des intrusions précédentes visant des établissements financiers sud-coréens. L’outil, initialement publié en open source sur GitHub, a depuis été retiré de la plateforme, bien qu’il demeure accessible par d’autres canaux. Aucune licence n’accompagnait sa diffusion.

ConnectWise réagit sans confirmer l’origine chinoise

ConnectWise a pris connaissance des conclusions de Microsoft mais s’est abstenu de commenter publiquement l’attribution à la Chine. L’entreprise a néanmoins pris des mesures immédiates et radicales.

Les modules SaaS Security et Cloud Management, tous deux intégrés à la solution Cloud Backup, ont été suspendus temporairement. Par ailleurs, les comptes et identifiants compromis ont été réinitialisés, et des jetons d’accès ont été révoqués pour limiter les risques.

Une enquête confiée à un expert externe

Pour garantir l’objectivité et l’exhaustivité de l’analyse, ConnectWise a mandaté un cabinet tiers non identifié afin de conduire l’enquête. Les résultats préliminaires révèlent que certaines applications ont attribué des rôles d’administration dans plusieurs tenants, aggravant potentiellement l’exposition des données.

Des sauvegardes apparemment préservées

Malgré la gravité de l’intrusion, ConnectWise affirme que les sauvegardes demeurent chiffrées et isolées. Aucun indice ne suggère pour l’instant qu’elles aient été compromises ou altérées.

Cette information, si elle se confirme, représenterait une limite importante à l’impact de l’attaque, les données sauvegardées restant protégées même en cas d’accès frauduleux aux environnements actifs.

Une surveillance renforcée et transparente

Depuis le 22 octobre, ConnectWise publie des mises à jour deux fois par jour pour tenir informées les organisations concernées de l’évolution de la situation et des actions correctives entreprises.

De son côté, Huntress, une autre société spécialisée en cybersécurité, a passé au crible plus de 10 000 tenants ConnectWise pour identifier les failles de sécurité et aider les victimes potentielles à sécuriser leurs infrastructures.

Les leçons d’une vulnérabilité systémique

Cette affaire met en lumière les risques liés à l’utilisation d’outils tiers dans les écosystèmes cloud. Lorsqu’une application bénéficie de privilèges étendus sur des environnements critiques, sa compromission peut ouvrir la porte à des milliers d’organisations simultanément.

Les experts en sécurité appellent désormais à une révision des politiques d’autorisation accordées aux applications tierces, ainsi qu’à un renforcement des contrôles sur les identités non humaines au sein des infrastructures numériques.