Microsoft attribue à Storm-0940 une campagne liée à Cloud Backup, le service de sauvegarde de ConnectWise. Son rapport décrit l’usage d’identités applicatives — des comptes logiciels autorisés à accéder à des services — pour entrer dans des environnements Microsoft 365 sans connexion interactive d’un utilisateur. Les comptes de service, qui exécutent des tâches sans intervention humaine, font partie des accès que les équipes informatiques doivent surveiller.
Une application autorisée comme point d’entrée
Selon Microsoft Threat Intelligence, Storm-0940 a utilisé ARTEX, un système d’intelligence artificielle dont des agents peuvent enchaîner des tâches de test de sécurité avec peu d’intervention humaine. Microsoft rapporte cet usage dès septembre 2026. L’entreprise relie plusieurs opérations à la compromission de Cloud Backup, une application multi-tenant conçue pour servir plusieurs clients dans des environnements distincts. Cette attribution est l’évaluation de Microsoft.
Le rapport décrit des connexions à des environnements Microsoft 365 au moyen d’identités applicatives disposant déjà d’autorisations. Dans plusieurs cas, Microsoft dit avoir observé un accès privilégié à une infrastructure cloud en moins de trois heures après le ciblage initial. L’entreprise précise que la majorité des tentatives décrites n’a pas abouti.
Ce que les équipes peuvent vérifier
Microsoft recommande aux organisations concernées d’examiner les connexions des comptes de service, les changements inattendus d’identifiants ou de privilèges et les journaux utiles à l’enquête. Les administrateurs doivent aussi suivre les consignes de confinement publiées par ConnectWise. Une authentification réussie ne prouve pas à elle seule que des données ont été consultées ou extraites : les journaux de chaque environnement restent nécessaires pour évaluer son exposition.
Sources de référence
À retenir
Microsoft Threat Intelligence attribue à Storm-0940 une campagne liée à ConnectWise Cloud Backup. Son rapport décrit des accès à Microsoft 365 au moyen d’identités applicatives déjà autorisées et recommande de vérifier les comptes de service, les changements de droits et les journaux. Une authentification réussie ne prouve pas à elle seule un accès aux données.
