Un outil de cybersécurité augmenté à l'IA détourné pour une attaque massive sur les organisations

L'essentiel de votre hack'tu cybersécurité

• Le groupe Storm-0940, aurait détourné Artex, un outil de pentest doté d’IA agentique, pour automatiser des tentatives de connexion à grande échelle ; 
• Le vol d’un accès de l’application ConnectWise Cloud Backup aurait permis d’accéder à des environnements Microsoft 365, parfois en moins de trois heures, puis d’étendre et / ou de maintenir ces accès ; 
• Entre 170 et plus de 300 organisations seraient touchées selon les sources, avec des risques d’espionnage et d’accès à des données sensibles.

Une cyberattaque massive augmentée par l'IA agentique

Depuis septembre 2026, le groupe Storm-0940 soutenu par l’État chinois (selon Microsoft), aurait détourné Artex, un outil de Pentesting augmenté par IA, afin de lancer une cyberattaque massive sur des centaines d'entreprises et d'organisations. Cette campagne automatisée illustre deux réalités majeures : l'industrialisation de cyberattaques augmentées par l'IA agentique et l'exploitation des vulnérabilités de la chaîne d'approvisionnement.

Quand l'exploitation de l'IA agentique et des vulnérabilités de la supply chain font campagne

Cette campagne massive, orchestrée par Storm-0940, aurait permis au groupe d'accéder en un temps record (parfois en moins de 3h) à des ressources cloud de nombreuses entreprises, notamment issues des secteurs critiques comme la défense, l'aéronautique et la finance.

Le mode opératoire de cette attaque à grande échelle repose dans un premier temps sur le détournement d'une application de tests d'intrusion, Artex. Cette application de Pentest, qui embarque de l'IA agentique, a permis de lancer une vaste campagne automatisée de « Password spraying », c’est-à-dire des tentatives massives de connexion. Point culminant de la campagne : le vol d’un accès de l’application de sauvegarde tierce ConnectWise Cloud Backup. Connectée à Microsoft 365 dans de nombreuses entreprises avec des droits très larges, cette application a permis aux intrus de se connecter de façon « légitime », sans mot de passe ni MFA, puis d’ajouter leurs propres accès et de s’attribuer des droits d’administrateur, afin d'élever leur niveau de privilège et obtenir un accès étendu et/ou persistant à ces environnements. Via ces accès, les attaquants ont pu s'immiscer dans les canaux de communication de ces entreprises, instaurer une porte dérobée dans la durée et accéder à des données confidentielles.

À partir de là, les cyberattaquants peuvent faire ce qu'ils veulent sur ces «  tenants » : usurpation d'identité, accès à des canaux de communication pour collecter de l'information... Dans ce cas, on est plutôt sur une forme d'espionnage, d'écoute et d'accès à des données confidentielles et sensibles. 

Selon les sources, entre 170 et plus de 300 organisations seraient touchées. Notre première recommandation est de désactiver l'application ConnectWise dans Microsoft 365, sans la supprimer. Mais au-delà du switch off, il est impératif d'investiguer les journaux de connexion, afin d'identifier toute connexion inhabituelle et tout accès ou droit d’administrateur ajouté depuis le 13 octobre, ce qui demande un niveau d'expertise élevé, analyse Sébastien De Lattin, Head of Microsoft Security chez Orange Cyberdefense.

Pour sécuriser vos ressources numériques et profiter d'une immunité collective unique sur le marché, contactez un expert Orange Cyberdefense via le bouton ci-dessous.