3 · CYBERSÉCURITÉ
ConnectWise : des agents d'IA au cœur d'une attaque, selon Microsoft
Lundi 26 octobre 2026 · 3 sources · 11 min de lecture
2 250
tenants Microsoft 365 ciblés
2 900
échecs de connexion par minute (pic)
CE QUI S'EST PASSÉ
Le 21 octobre, Microsoft a publié un rapport attribuant à Storm-0940, un groupe qu'elle juge aligné sur l'État chinois, la compromission d'une application multi-clients de ConnectWise, éditeur d'outils pour prestataires informatiques. Selon Microsoft, le groupe a utilisé ARTEX, un cadre open source d'agents fondés sur des grands modèles de langage conçu pour les tests d'intrusion. Du 10 au 14 octobre, une campagne de devinette de mots de passe a produit plus de 151 000 échecs de connexion sur 327 comptes de huit organisations, sans réussite. Le groupe est ensuite passé par les identités applicatives de ConnectWise et a tenté de se connecter à plus de 2 250 tenants (espaces clients) Microsoft 365. Dans plusieurs cas, « the time from initial targeting to privileged access was less than 3 hours ». ConnectWise avait publié un avis le 16 octobre ; selon The Register, la société a désactivé trois de ses services (Cloud Backup, SaaS Security, Cloud Management). Microsoft ne dit pas combien de clients ont été compromis, ni si des données ont été volées, et précise que la faille ne vient pas de ses propres systèmes.
Qu'est-ce qu'un agent d'IA utilisé pour attaquer ?
Un agent d'IA est un programme qui enchaîne des actions seul, en s'appuyant sur un grand modèle de langage : il lit des résultats, décide de l'étape suivante et recommence. Un outil comme ARTEX en coordonne plusieurs, de la reconnaissance à l'extraction de données. Une attaque par chaîne d'approvisionnement vise un fournisseur pour atteindre ses clients : ici, les accès que les clients avaient déjà accordés à l'application de ConnectWise, ce qui évite le mot de passe et la validation en deux étapes d'une personne. Ce qui est établi, ce qui ne l'est pas : l'attribution à Storm-0940 et le rôle d'ARTEX sont les conclusions de Microsoft. Le chiffre de 2 250 compte des tentatives de connexion, pas des intrusions réussies, et le nombre de victimes n'est pas publié.
LES POINTS DE VUE
Elle écrit : « This activity demonstrates how threat actors are integrating agentic AI into existing offensive security workflows » (citation relevée par CSO Online).
rapport du 21 octobre · CSO Online
Il estime : « Defenders should focus on what the identity is doing, not whether a human or AI is controlling it » (cité par CSO Online).
Security Brigade, société de sécurité · CSO Online
Il juge que la rapidité de ce type d'attaque dépasse ce que peut absorber une file d'analystes humains, et que valider chaque alerte à la main ne suffit pas. Propos résumés sans guillemets.
IDC Asia/Pacific, cabinet d'analyse · CSO Online
CE QUE ÇA CHANGE
Pour un administrateur Microsoft 365 qui utilise ConnectWise : Microsoft recommande de garder les connexions concernées désactivées tant que ConnectWise n'a pas donné ses consignes de rétablissement, de chercher les applications par leur identifiant (pas par leur nom), de conserver les journaux et de relire l'activité depuis au moins le 15 octobre.
ET APRÈS ?
- 1
ConnectWise doit publier ses consignes de rétablissement des services
- 2
aucune date n'est donnée dans les sources
