Des attaquants ont pu accéder à des environnements Microsoft 365 en s’appuyant sur des identités d’applications ConnectWise que des organisations avaient autorisées, sans avoir besoin du mot de passe ni de l’authentification multifacteur des utilisateurs. Selon Microsoft, le groupe Storm-0940 est responsable de la compromission, et un outil nommé ARTEX aurait servi à accélérer plusieurs étapes de l’opération.
Un tenant, c’est-à-dire l’espace de travail d’une organisation dans Microsoft 365, peut être administré par des applications auxquelles il a donné des permissions. Qui contrôle ces identités dispose donc, dans chacun de ces tenants, des droits de l’application. Dans plusieurs cas de la campagne menée depuis septembre, moins de trois heures se sont écoulées entre le premier ciblage et l’obtention d’un accès privilégié, selon Microsoft, qui ne précise pas si ces organisations étaient clientes de ConnectWise.
Microsoft « estime » que Storm-0940 est à l’origine de la compromission, sans publier de niveau de confiance. ConnectWise, de son côté, a indiqué ne pas pouvoir « discuter de l’attribution à ce stade », avant de prendre acte, le 21 octobre, des conclusions de Microsoft sur la page d’avis de son Trust Center. Sa page d’état ne mentionne ni Storm-0940 ni l’IA.
ARTEX, un outil open source aux usages signalés
ARTEX est un système multi-agents, c’est-à-dire un ensemble de programmes d’IA capables d’agir de façon autonome, écrit en Go et publié en open source. Selon une note de la Cloud Security Alliance, il a été mis en ligne le 26 juillet 2026 par un développeur qui signe Autumn-27. CrowdStrike l’a relié début octobre à des intrusions dans des établissements financiers sud-coréens. Le 8 octobre, le développeur aurait retiré le projet de GitHub et annoncé l’arrêt des mises à jour, avec un passage en code fermé, mais une page du projet reste publique au 22 octobre.
Microsoft écrit que Storm-0940 a utilisé ARTEX pour accélérer la reconnaissance, la pulvérisation de mots de passe (un même mot de passe courant essayé sur une série de comptes) et l’abus d’applications OAuth. ARTEX « peut utiliser n’importe quel modèle d’IA » et conduit une intrusion de la reconnaissance à l’exfiltration « avec peu d’interaction humaine », selon le même billet, qui ne précise pas la part humaine de l’opération ni le modèle utilisé. La campagne de pulvérisation menée du 10 au 14 octobre 2026 a produit plus de 151 000 échecs contre 327 comptes de huit organisations, sans qu’aucune authentification réussie ne soit observée, selon Microsoft.
Tentatives et connexions réussies
Microsoft indique que l’attaquant a tenté de se connecter à plus de 2 250 tenants, et que la majorité de ce ciblage a échoué. L’entreprise ne donne aucun nombre de tenants compromis et précise qu’une authentification réussie « n’indique pas nécessairement » un accès aux données ou leur exfiltration.
Huntress, un éditeur de sécurité, a examiné plus de 10 000 tenants équipés d’applications ConnectWise. Il en comptait 162 avec des connexions non autorisées confirmées le 16 octobre, puis près de 1 000 visés depuis une seule adresse IP le 17 octobre, dont plus de 300 avec une connexion réussie. Dans une cinquantaine de tenants suivis, des applications se sont attribué des rôles d’administration de l’annuaire, surtout celui d’administrateur Exchange.
ConnectWise a signalé le 16 octobre des « tentatives » d’accès à l’environnement Cloud Backup, l’ancien SkyKick. Le 17 octobre, l’éditeur a reconnu un accès non autorisé à des identités d’application, en a désactivé sept et révoqué les certificats concernés. Le 19 octobre, tous les comptes et identifiants de l’environnement touché ont été réinitialisés. Le rétablissement par phases a commencé le 21 octobre et doit durer « plusieurs jours ». Les archives de sauvegarde sont « chiffrées, isolées et préservées, sans indication de compromission », selon l’entreprise, qui a confié l’enquête à un cabinet tiers qu’elle ne nomme pas.
Microsoft recommande notamment de laisser désactivées les connexions ConnectWise touchées, de conserver les journaux Microsoft Entra et d’examiner l’activité depuis au moins le 15 octobre 2026. ConnectWise indique que les jetons d’accès déjà émis « peuvent rester utilisables » jusqu’à leur expiration ou leur invalidation.
