Un service de sauvegarde coupé après que sa propre clé a servi à lire les e-mails des clients
ConnectWise a coupé son propre service Cloud Backup samedi à 7 h UTC, et il est toujours à l'arrêt. La raison : quelqu'un avait récupéré les identifiants que ce service utilise pour se connecter aux comptes Microsoft 365 des clients, et s'en servait discrètement depuis mardi.
La chronologie, telle que la racontent ConnectWise et la société de sécurité Huntress, est courte. Des tentatives de connexion scriptées les 13 et 14 octobre. Une activité réellement malveillante le 15, toute depuis une seule adresse, 144.172.64.128. Près d'un millier de tenants Microsoft 365 ont vu des tentatives, environ 300 connexions ont abouti, et Huntress a confirmé des accès non autorisés dans 173 d'entre eux. Samedi, ConnectWise a désactivé d'un coup sept de ses identités applicatives, couvrant Cloud Backup, Cloud Management et ses connexions vers Teams, Exchange Online, SharePoint et Microsoft Graph.
Voici la partie qui mérite d'être comprise même si vous n'avez jamais entendu parler de ConnectWise. L'authentification multifacteur n'a rien changé, parce que personne ne s'est connecté en tant que personne. Un logiciel de sauvegarde détient sa propre clé de votre boîte mail, et celui qui tient cette clé est tout simplement le logiciel de sauvegarde aux yeux de Microsoft. Courriers, fichiers OneDrive, documents SharePoint, conversations Teams : tout était lisible. ConnectWise affirme que les archives de sauvegarde elles-mêmes restent chiffrées et qu'aucun signe n'indique qu'elles aient été touchées, et n'a pas annoncé de date de retour du service.
Si une société informatique extérieure gère votre PC professionnel, c'est son week-end, pas le vôtre. La leçon pour la maison est plus simple : une sauvegarde qui n'existe que dans le compte de quelqu'un d'autre n'est qu'à un compte compromis de n'être la sauvegarde de personne. La sauvegarde en un clic de Tendvane copie Documents, Images et Bureau vers un disque qui vous appartient physiquement, la copie qui survit au mauvais mardi d'une autre entreprise.