L'intrusion chez ConnectWise était pilotée par un logiciel, à 2 900 tentatives de connexion par minute

Le week-end dernier, ConnectWise a coupé son propre service Cloud Backup après que quelqu'un eut utilisé ses identifiants applicatifs pour se connecter aux comptes Microsoft 365 de ses clients. À l'époque, le chiffre tournait autour de 300 connexions réussies. Microsoft a publié la suite de l'histoire le 21 octobre, et elle est nettement plus vaste.

Microsoft attribue la campagne à Storm-0940, un groupe aligné sur l'État chinois qu'elle suit depuis 2021, et précise que les attaquants ne tapaient pas au clavier. Ils pilotaient ARTEX, un cadriciel de test d'intrusion open source construit comme un système multi-agents autour d'un grand modèle de langage, capable de tout gérer depuis la reconnaissance jusqu'au vol des données avec très peu d'intervention humaine. Les chiffres obtenus sont l'essentiel. Plus de 2 250 locataires visés. Plus de 2 900 tentatives de connexion par minute. Plus de 200 connexions réussies en moins de quatre minutes avec quatre identifiants applicatifs. Dans plusieurs cas, moins de trois heures entre le premier contact et un accès privilégié. En quatre jours jusqu'au 14 octobre, 151 000 échecs de connexion lancés contre 327 comptes dans huit organisations.

Le résumé de Microsoft est la phrase à retenir : les agents «peuvent travailler 24 heures sur 24, le week-end et les jours fériés, et tenter plusieurs voies d'intrusion en même temps». Deviner des mots de passe était autrefois assez lent pour que personne ne s'embête avec le compte d'un particulier. Cette contrainte a disparu. L'écart entre un mot de passe réutilisé partout et un mot de passe unique a donc cessé d'être théorique, et ce qui protège une boîte mail devrait être une clé d'accès ou un mot de passe long et unique, pas le nom de votre chien suivi d'un chiffre.

L'essentiel de cette bataille se joue sur des serveurs que vous ne verrez jamais. La vérification de posture de sécurité de Tendvane couvre la part qui vous appartient vraiment, y compris si BitLocker chiffre bien le disque qu'il prétend chiffrer.