Analyse éditoriale · Sources primaires
ConnectWise lance la restauration progressive de Cloud Backup avec une nouvelle application M365
ConnectWise a commencé la restauration. Les partenaires doivent réinitialiser les mots de passe, configurer la MFA et autoriser chaque tenant via une nouvelle application ; l’autorisation ne prouve pas la reprise des sauvegardes.
Mise à jour et chronologie confirmées
L’activité en aval a commencé le 15 octobre et ConnectWise a divulgué l’incident le 16. Après le retard lié à la validation externe, l’entreprise a annoncé le 28 octobre à 16 h 00 UTC le début de la restauration progressive [1]. La phase 1 rétablit les sauvegardes et restaurations Microsoft 365 avec la nouvelle application renforcée « ConnectWise Cloud Backup for M365 ». Les autres fonctions reviendront ensuite [1].
Actions obligatoires des partenaires
Les partenaires doivent réinitialiser le mot de passe du portail, terminer la configuration MFA si nécessaire et autoriser chaque tenant avec la nouvelle application [1]. Les anciennes applications désactivées doivent le rester sauf instruction spécifique. Revendeurs et partenaires de marketplace doivent transmettre les consignes au bon administrateur de chaque client [1].
Impact sur la mission et la reprise
Les snapshots et travaux de restauration reviennent en premier. L’accès client et la supervision suivent en phase 2, les rapports et exports en phase 3, les notifications en phase 4 [1]. L’historique montrera l’écart entre la dernière sauvegarde avant incident et la première nouvelle. La réautorisation ne prouve pas la reprise : chaque tenant doit présenter un snapshot réussi [1].
Priorités de validation de sécurité
Traitez la réautorisation comme un changement d’identité contrôlé. Vérifiez identité de l’application, droits demandés, administrateur, heure et tenant avant consentement. Enregistrez la première sauvegarde réussie et testez une restauration représentative. Poursuivez l’examen des preuves Entra, Purview, SIEM et Graph pour détecter identifiants, autorisations, rôles privilégiés, accès aux messages ou fichiers et changements de politique non autorisés [1][3].
Décision de gouvernance
Séparez les approbations pour l’enquête du tenant, le consentement, la reprise des sauvegardes et le retour complet. La restauration du fournisseur ne prouve pas que les tenants sont sains et la disponibilité ne clôt pas l’incident. Suivez les écarts de points de reprise, l’intégrité, la couverture de supervision et les constats ouverts. Cette approche soutient une reprise fondée sur des preuves selon NIST [4].
Sources
- ConnectWise, “Cloud Backup (formerly known as SkyKick) Service Interruption,” originally published 16 Oct 2026, updated 28 Oct 2026 at 16:00 UTC, accessed 29 Oct 2026
- Huntress, “ConnectWise (SkyKick) Vendor Credentials Abused in M365 Attacks,” updated 17 Oct 2026, accessed 22 Oct 2026
- Microsoft Security Research and Microsoft Threat Intelligence, “AI-driven, large-scale nation-state campaign using ARTEX enables supply chain compromise,” published 21 Oct 2026, accessed 22 Oct 2026
- NIST SP 800-61 Rev. 3, “Incident Response Recommendations and Considerations for Cybersecurity Risk Management,” final Apr 2025, accessed 22 Oct 2026