Les parents d'un adolescent libanais de 15 ans, Mathias Habib, qui s'est suicidé, ont porté plainte contre OpenAI et son PDG, Sam Altman, les accusant d'avoir utilisé ChatGPT pour expliquer le décès de leur fils.

Charbel Habib et Soha Samaha ont déposé une plainte pour homicide involontaire auprès de la Cour supérieure de Californie, comté de San Francisco, suite au décès de leur fils, Mathias Habib, le 22 avril 2026. La famille est représentée par le Social Media Victims Law Center et Tech Justice Law.

Selon la famille, Mathias était un adolescent heureux et en bonne santé, sans antécédents de troubles mentaux. Élève brillant, il aimait le karting, la guitare, la peinture, la photographie et le cinéma, ainsi que la randonnée et le camping en montagne.

Pendant près de trois ans, son utilisation de ChatGPT se serait limitée à des conversations occasionnelles sur ses devoirs, les appareils photo, les itinéraires de randonnée et les voitures de collection, sans aucun signe d'utilisation excessive.

Cependant, la famille affirme que ses interactions avec le chatbot ont pris une tournure inquiétante en janvier 2026, lorsqu'il a commencé à explorer le stoïcisme après avoir décidé de lire les Pensées pour moi-même du philosophe romain Marc Aurèle.

Sa première question à ChatGPT portait sur le caractère sectaire du stoïcisme, car il voulait s'assurer de ne pas s'engager dans une activité dangereuse.

Selon le récit de la famille, au cours des trois mois suivants, ChatGPT a détourné Mathias des écrits de Marc Aurèle vers la philosophie de Friedrich Nietzsche, le nihilisme et l'existentialisme.

La famille affirme que le chatbot a renforcé des idées troublantes sur la vie et la mort, notamment en présentant le suicide d'une manière qu'elle jugeait dangereuse, alors même qu'elle savait que Mathias n'avait que 15 ans.

Le 30 mars, vers 2 h 10 du matin, Mathias a interrogé directement ChatGPT sur la possibilité de mettre fin à ses jours, selon le récit de la famille. Ses parents affirment que la plateforme a omis de les avertir et d'alerter les autorités.

Mathias est décédé 23 jours plus tard. Sa famille affirme également que, le soir de son décès, ChatGPT l'a aidé à programmer une publication Instagram posthume.

Selon la famille, l'enquête policière n'a révélé aucun antécédent de maladie mentale, de conflit familial ou d'instabilité. La famille indique que les enquêteurs ont identifié une exposition prolongée à des discussions philosophiques personnalisées, générées par l'intelligence artificielle, comme un facteur ayant contribué à son décès.

La plainte accuse OpenAI de ne pas être intervenue, malgré sa capacité technique à signaler les conversations dangereuses ou à restreindre l'accès des utilisateurs.

Dans une déclaration, le père de Mathias, Charbel Habib, a évoqué les centres d'intérêt de son fils et s'est interrogé sur la raison pour laquelle les plateformes d'intelligence artificielle sont autorisées à engager des conversations potentiellement nuisibles avec des enfants.

« L'IA est bénéfique à l'humanité. Elle contribuera à guérir le cancer et à accroître la productivité humaine. Alors, quel est l'intérêt de l'IA à interagir avec les enfants ? Puisque OpenAI est autorisée à parler aux enfants, je ne peux plus parler aux miens », a-t-il déclaré.

Sa mère, Soha Habib, a également critiqué la plateforme pour son incapacité présumée à alerter la famille après que son fils a exprimé des pensées suicidaires.

« Je dormais dans la même maison, et pourtant personne n'a été réveillé. ChatGPT avait vingt-trois jours pour avertir une mère, mais ne l'a jamais fait », a-t-elle déclaré.

La famille réclame des dommages et intérêts ainsi qu'un renforcement des mesures de protection des mineurs, notamment la restriction de l'accès des enfants à ChatGPT jusqu'à ce que sa sécurité soit vérifiée de manière indépendante.

Ils ont également créé la Fondation Mathias Habib en mémoire de leur fils, afin de protéger les enfants des risques potentiels liés à l'IA par la sensibilisation, la recherche et la prévention.

Cette affaire fait partie des trois plaintes annoncées par Tech Justice Law le 15 octobre. Les deux autres, déposées au nom de Mariah Hill et Garrett Works, allèguent que des interactions prolongées avec ChatGPT ont causé de graves préjudices psychologiques.

Les équipes juridiques accusent OpenAI de négligence et de conception défectueuse, arguant que les fonctionnalités du chatbot peuvent encourager la dépendance affective et exposer les utilisateurs vulnérables à des risques.

[2026.10.14 OpenAI JCCP - Plainte Habib.pdf](https://www.lbcgroup.tv/uploadImages/ExtImages/Images2/2026.10.14 OpenAI JCCP - Plainte Habib.pdf) [Affaire groupée vs Communiqué de presse OpenAI .pdf](https://www.lbcgroup.tv/uploadImages/ExtImages/Images2/Affaire groupée vs Communiqué de presse OpenAI .pdf)

Il n'y a pas seulement dix heures d'écart entre les deux vidéos. La première, du PSOE, a été publiée sur le compte officiel de Pedro Sánchez ce mercredi à 8h29, juste avant la présentation de Javier Milei au Casino de Madrid. La seconde, du PP, a été diffusée après 22h. L'une est authentique : elle a été filmée avec des caméras et des microphones, puis montée par une équipe de professionnels de l'audiovisuel. L'autre est un montage : elle a été générée par une application d'intelligence artificielle. De plus, c'est la première fois qu'un parti politique espagnol recourt à cette stratégie pour usurper l'identité et la voix de personnalités politiques telles que José Luis Rodríguez Zapatero, Begoña Gómez, l'ancienne porte-parole socialiste Montse Mínguez, et même José Luis Ábalos, entre autres. Dans le cas de ce dernier, l'usurpation est peut-être la plus réaliste, et il semble parler sincèrement. Il déclare :

« Si aller voir des prostituées est un signe de gauchisme, alors oui, je suis de gauche. »

La vidéo a cumulé près de deux millions de vues en seulement 11 heures, en additionnant sa diffusion sur X, Instagram et TikTok (elle a été publiée simultanément sur les trois profils officiels du parti). Elle a également été partagée 18 000 fois et a généré plus de 66 000 mentions « J'aime ». La vidéo dure 51 secondes et, bien que le parti reconnaisse qu'elle a été créée à l'aide d'une intelligence artificielle, cette information figure tout en bas, dans une police minuscule et transparente, presque imperceptible.

On y voit des dirigeants comme Santos Cerdán, qui déclare : « Si accepter des pots-de-vin et appartenir à un gang criminel est une attitude de gauche, alors oui, je suis de gauche. » Begoña Gómez : « Si le fait d'être professeure grâce à la présidence de mon mari est une chose que font les gauchers, alors oui, je suis gauchère. » Zapatero : « Si cacher des bijoux dans un coffre-fort est une chose que font les gauchers, alors oui, je suis gaucher. »

Voir cette publication sur Instagram

Ces images ont suscité la controverse et l'étonnement parmi les dirigeants de Ferraz (le siège du PSOE). La secrétaire de l'organisation, Rebeca Torró, a répondu ce matin dans l'émission Hoy por Hoy sur le réseau. SER](https://cadenaser.com/nacional/2026/10/22/rebeca-torro-carga-contra-la-derecha-por-la-visita-de-milei-representa-todo-lo-que-representan-tambien-feijoo-el-pp-y-vox-cadena-ser/). « Et maintenant, ils utilisent la technologie », a-t-elle observé. "Ils n'ont pas d'autre projet à proposer à ce pays que du bruit, des mensonges et des insultes constantes." Et maintenant, nous le voyons grâce à l’intelligence artificielle. Interrogée par ce journal sur d'éventuelles poursuites judiciaires, la direction socialiste indique qu'elle étudie cette possibilité.

Est-ce pertinent ? Que dit la loi ?

Borja Adsuara, docteur en philosophie du droit et directeur général de l'entreprise publique Red.es entre 2012 et 2013 sous la direction de Mariano Rajoy, explique par téléphone que, selon la réglementation espagnole sur l'IA entrée en vigueur en août dernier, il est toujours nécessaire de préciser que le contenu est généré par cet outil, comme c'est le cas ici. « Mais il existe une exception », précise-t-il, « s'il s'agit d'une œuvre satirique sans risque de confusion ni de satire. Autrement dit, un mème. » Néanmoins, si le propos dépasse le cadre de la satire et allègue un délit, il pourrait être considéré comme diffamatoire.

Oui, je suis gaucher. #FiersDeGauche #FiersDeGauche pic.twitter.com/VTGKqR9Mjg

— Pedro Sánchez (@sanchezcastejon) 21 octobre 2026

Cependant, comme l'explique Adsuara, les juges classent généralement ces affaires sans suite. « Aussi agaçantes soient-elles, les magistrats disent en substance qu'ils doivent s'en accommoder. » Et il y aurait un autre risque : l'effet Streisand, un phénomène par lequel toute tentative de dissimulation, de censure ou de suppression d'informations entraîne une diffusion bien plus importante que prévu.

Cet après-midi, Vox a également commencé à utiliser des vidéos générées par IA, critiquant les socialistes. L'idée de la vidéo du PP, cependant, est née pour contrer la stratégie socialiste, déployée sur les réseaux sociaux toute la journée. Dominer la conversation en ligne est essentiel pour tout parti, surtout en période électorale. Si les internautes parlent de la vidéo du PP, ils ne parlent pas du PSOE.

Tout a commencé tôt ce matin. Les socialistes ont mobilisé leurs partisans, qui sont même allés jusqu'à déployer une banderole sur le bâtiment du siège de Ferraz pour célébrer le fait d'être gaucher, une expression chère à Milei et utilisée presque comme une insulte. Pendant une grande partie de la matinée, la conversation sur les réseaux sociaux a tourné autour de cela : être gaucher présenté comme un atout. En effet, la vidéo de Sánchez a cumulé plus de deux millions de vues rien que sur X.

Mais le PP a changé de cap en quelques heures. « Nous utilisons l'IA », ont déclaré des sources proches de la direction de Génova à ce journal il y a deux jours, « pour deux choses. La première est la créativité, comme l'autre jour, même si cela a peu d'impact réel sur les électeurs. La seconde est l'analyse des données. Auparavant, analyser un sondage prenait des jours. Aujourd'hui, cela se fait en trois heures et avec une grande précision. »

Le Parti populaire (PP) a modifié son positionnement ces dernières semaines. Plus actif que jamais, il promeut même son porte-parole en lui accordant des interviews en fin de semaine, comme celle parue dimanche dernier dans le journal El Mundo. « La gauche est une vraie plaie », a déclaré le leader, sans révéler son nom. La direction du PP assure que cette ligne restera inchangée et que l'IA (Gauche de gauche) le restera également. Il s'en servira pour sa campagne. La vidéo, qui l'imite d'ailleurs, se termine ainsi :

« Oui, ils sont gauchers. Un peu lents d'esprit. Et fiers. »

« »

Un conducteur de Tesla originaire de San Francisco aurait percuté et tué un piéton dans le comté de Solano tôt jeudi matin, alors que sa voiture était en mode de conduite autonome, ont indiqué les autorités.

L'accident s'est produit peu après 2h30 sur l'Interstate 80 en direction ouest, à l'échangeur avec l'Interstate 780, a précisé la California Highway Patrol (CHP) sur sa page Facebook. La caméra embarquée de la Tesla, qui a filmé l'accident, montre le piéton traversant l'autoroute depuis la bande d'arrêt d'urgence alors que la voiture roulait à 110 km/h, a ajouté la CHP.

Selon la California Highway Patrol (CHP), un piéton de 71 ans originaire de Vallejo s'est engagé « directement sur la trajectoire de la Tesla » alors qu'il traversait l'autoroute en direction du terre-plein central. Bien que les images de la caméra embarquée visionnées par les agents montrent la Tesla freinant et virant à gauche, c'est le côté droit du véhicule qui a percuté le piéton, a indiqué la CHP.

Après la collision avec la Tesla, le piéton, allongé sur la chaussée, a été heurté par un autre automobiliste, a précisé la CHP. Le conducteur de ce second véhicule a pris la fuite et n'a pas encore été identifié par les autorités. Le piéton a succombé à ses blessures, et le conducteur de la Tesla, un homme de 26 ans originaire de San Francisco, est resté sur les lieux, a ajouté la CHP.

Toute personne disposant d'informations concernant l'accident impliquant la Tesla ou le second véhicule est priée de contacter le bureau de la CHP à Solano au 707-639-5600.

Scott Heitman, porte-parole de la California Highway Patrol (CHP), a déclaré au San Francisco Chronicle que le conducteur de la Tesla n'avait pas été verbalisé après l'accident. Cependant, il pourrait être poursuivi si l'enquête conclut à une négligence de sa part, selon le Chronicle. (Le Chronicle et SFGATE appartiennent tous deux au groupe Hearst, mais leurs rédactions sont distinctes.)

Cet accident survient une semaine après qu'un autre conducteur de Tesla en Californie a été impliqué dans une collision alors que son véhicule était en mode de conduite autonome. Le 13 octobre, un homme de 22 ans originaire de Sacramento se serait endormi au volant lorsqu'il a percuté un véhicule de la California Highway Patrol (CHP), blessant deux agents.

380 000 euros de dommages et intérêts pour quelque 170 victimes : tels sont les chiffres auxquels l’équipe de lutte contre la cybercriminalité de Rotterdam a été confrontée durant les trois semaines où elle a eu accès aux serveurs d’un réseau criminel. Ces criminels pratiquaient une nouvelle forme d’escroquerie au service d’assistance bancaire : les victimes devaient scanner leur carte bancaire avec leur téléphone portable, ce qui permettait de vider immédiatement leur compte bancaire à distance. Cette enquête, menée par le parquet, a rapidement abouti à l’arrestation de deux suspects le 6 octobre 2026.

« Tout a commencé mi-septembre lorsque des banques néerlandaises ont signalé à l’ECTF (Electronic Crimes Task Force) être confrontées à des victimes de cette nouvelle forme d’escroquerie au service d’assistance bancaire », explique Ruben van Well, de l’équipe de lutte contre la cybercriminalité de Rotterdam.

--

*Nouvelle forme d’escroquerie au service d’assistance bancaire

Les victimes étaient contactées par téléphone et un message audio leur était diffusé. Les escrocs avaient créé des dizaines de messages audio différents grâce à l'intelligence artificielle, mettant en scène diverses voix, banques, entreprises et scénarios. Par exemple, une voix alertait la victime d'une activité suspecte sur son compte bancaire et lui demandait d'appuyer sur « 1 » si elle n'était pas personnellement responsable de cette activité. Les victimes entendaient ensuite une musique d'attente avant d'être mises en relation avec un prétendu employé de banque.

Les victimes étaient ensuite soumises à des pressions et manipulées à l'aide d'un scénario prédéfini. « Il fallait agir vite en bloquant la carte bancaire. » Pour ce faire, les victimes devaient télécharger une application et scanner leur carte bancaire en la présentant devant leur téléphone.

Cela permettait aux escrocs, via l'application nouvellement installée, de transmettre temporairement les données de la puce NFC de la carte bancaire à une application utilisée par le titulaire : la puce utilisée pour les paiements sans contact. Au même moment, un autre titulaire de carte possédant la même application attendait devant un distributeur automatique de billets. À l'insu des victimes, des milliers d'euros étaient retirés. ----*

« Fini les arnaqueurs à domicile ! Place à un opérateur convaincant, d'un professionnalisme exemplaire. Nous n'avions jamais rencontré cette technique auparavant. Nous sommes fiers de notre collaboration avec les banques néerlandaises, où nous partageons la responsabilité de lutter contre la criminalité et de protéger les citoyens », a déclaré Ruben.

L'enquête

Quelques jours après sa rencontre avec l'ECTF, l'équipe de lutte contre la cybercriminalité a pu analyser l'infrastructure numérique de l'organisation criminelle. Un technicien et un coordinateur étaient responsables de la technologie et de la diffusion des appels frauduleux. Ils géraient également les lecteurs de cartes, opérationnels dès qu'une victime scannait sa carte bancaire avec l'application. En peu de temps, l'enquête a permis de recenser 170 victimes, pour un préjudice estimé à environ 380 000 euros. Les victimes étaient de tous âges et originaires de toutes les régions des Pays-Bas. Des dizaines de jeunes adultes, âgés d'une vingtaine ou d'une trentaine d'années, ont également été touchés.

« En un laps de temps très court, nous avons réussi à démanteler l'infrastructure des fraudeurs et à comprendre le fonctionnement interne du réseau CSV. Les décisions tactiques prises ont permis de mettre fin aux agissements de ces criminels et de leur système. Arrêter les titulaires de cartes a souvent peu d'effet à long terme si l'on veut prévenir de nouvelles victimes. Les titulaires de cartes sont facilement interchangeables. Seule une personne occupant un poste clé permet de lutter efficacement contre un réseau CSV et d'éviter de nouvelles victimes. »

Deux arrestations importantes

Le 6 octobre, la police a arrêté deux suspects dans le cadre de cette enquête. Il s'agit de deux hommes (un homme de 23 ans originaire de Vaassen et un homme de 25 ans originaire d'Ede). L'homme de 23 ans est soupçonné d'avoir été le technicien à l'origine de la fraude et d'avoir dirigé les autres membres du réseau. L'autre est soupçonné d'avoir joué un rôle de coordination au sein de ce groupe.

La police a fait mettre hors service les serveurs utilisés pour faciliter cette fraude. Les données de ces serveurs sont en cours d'analyse. Les téléphones et ordinateurs portables des suspects ont également été saisis pour les besoins de l'enquête. Mardi 20 octobre, le tribunal de Rotterdam a décidé de maintenir les suspects en détention provisoire pour au moins 90 jours supplémentaires, dans l'attente de leur procès.

« Nous rendons cette enquête publique afin de sensibiliser le public à cette nouvelle forme de fraude », explique Ruben. « Nous le faisons pour une raison bien précise. Nous tenons à informer tous les Néerlandais : votre banque ne vous demandera jamais de télécharger une application, de coller votre carte bancaire contre votre téléphone ni de communiquer votre code PIN. Soyez vigilants et raccrochez si la conversation vous paraît suspecte. Quant aux fraudeurs, nous leur disons : vous n'êtes pas à l'abri derrière votre ordinateur. Toutes vos activités en ligne laissent des traces. En moins de quatre semaines, nous sommes passés de la détection de cette nouvelle méthode de fraude à l'arrestation des suspects. » Perturbation durable

« Ce cas illustre l'importance de la coopération tout au long de la chaîne. Au sein de l'Unité de lutte contre la cybercriminalité (ECTF), les banques, la police et le parquet ont rapidement mis en commun leurs informations, leur expertise et leurs ressources. Grâce à cela, cette nouvelle forme de fraude a pu être détectée précocement et les criminels à l'origine de cette méthode ont pu être appréhendés rapidement. C'est uniquement en travaillant ensemble de cette manière que nous pouvons protéger les victimes et démanteler durablement les réseaux criminels », explique Marco Doeland, responsable de la sécurité à l'Association bancaire néerlandaise.

Conseils pour reconnaître et prévenir les arnaques

• Deux éléments sont toujours récurrents :

• Confiance : La confiance peut être instaurée en choisissant une personne connue comme expéditeur, mais aussi en partageant des informations personnelles de la victime. « Je suis une personne réelle… regardez tout ce que je sais sur vous. »

• Pression : La pression vise à déclencher une réaction de stress. Sous l'effet du stress, on pense moins rationnellement et on est plus vulnérable aux arnaques car on agit instinctivement.

• Vérifiez l'expéditeur : assurez-vous que le numéro de téléphone est correct. - Ne cliquez pas sans discernement : ne cliquez pas sur les liens inconnus et ne téléchargez pas d'applications via un lien reçu par SMS ou WhatsApp.

• Ne communiquez jamais vos données : les banques et les administrations ne vous demanderont jamais vos identifiants, mots de passe ou codes PIN par téléphone ou SMS.

• Contactez-les : vous avez un doute sur l'authenticité d'un message ou d'un appel ? Contactez directement l'organisme concerné au numéro officiel indiqué sur son site web.

Avez-vous été victime d'une fraude ? Déposez une plainte !

• Contactez immédiatement votre banque. Demandez-lui de vérifier si de l'argent a bien été débité de votre compte. Si nécessaire, faites bloquer votre compte ou suspendre les transactions.

• Déposez une plainte. Conservez tous les messages reçus afin de pouvoir les présenter à la police.

Dès septembre 2026, Storm-0940, un acteur lié à l'État chinois, a utilisé ARTEX, un framework de test d'intrusion basé sur l'IA agentique, pour automatiser des attaques ciblant des centaines d'organisations à travers le monde et dans un large éventail de secteurs. Plusieurs de ces attaques menées par Storm-0940 via ARTEX ont permis à l'acteur d'obtenir un accès privilégié à l'infrastructure cloud d'une organisation – notamment dans de nombreux cas où le délai entre le ciblage initial et l'obtention de cet accès privilégié était inférieur à 3 heures. Microsoft estime que Storm-0940 est responsable de la récente compromission de la chaîne d'approvisionnement de ConnectWise (https://lnkd.in/p/gb5GHgpg), une application mutualisée.

Cette activité illustre comment les acteurs malveillants intègrent l'IA agentique à leurs processus de sécurité offensive existants, ce qui leur permet d'étendre leurs opérations de manière exponentielle. Les agents ne sont pas limités par les facteurs humains : ils peuvent travailler 24 h/24, 7 j/7, week-ends et jours fériés inclus, et tenter simultanément plusieurs intrusions. Ceci permet de réduire considérablement le temps entre la sélection d'une cible et la réalisation des objectifs, augmentant ainsi la vitesse et l'impact d'attaques complexes telles que les compromissions de chaînes d'approvisionnement.

L'utilisation d'ARTEX par Storm-0940 a accéléré l'exploitation des applications compromises pour s'authentifier auprès des environnements clients Microsoft 365 via des applications ayant déjà obtenu un accès. L'attaquant a ainsi pu agir sans nécessiter d'authentification interactive de l'utilisateur. Dans plusieurs environnements affectés, Microsoft a observé des activités ultérieures accélérées par l'IA via Microsoft Graph, notamment des opérations de reconnaissance, des modifications d'identifiants d'application et des tentatives de modification des privilèges permettant un accès étendu ou persistant. Ces activités, menées par l'attaquant via le framework ARTEX, ne résultent pas d'une compromission ou d'une vulnérabilité des systèmes, produits ou services Microsoft.

Bien que Microsoft ait identifié l'authentification et les activités ultérieures initiées par Storm-0940 dans plusieurs environnements clients, la présence d'une application affectée ou la réussite de l'authentification de l'attaquant n'indiquent pas nécessairement un accès ou une exfiltration de données client. Microsoft Defender XDR assure la détection et la recherche d'activités suspectes dans Microsoft Graph et d'activités associées à des infrastructures de menaces connues. Les clients doivent vérifier les connexions des principaux de service, enquêter sur toute modification inattendue des identifiants ou des privilèges des applications et suivre les recommandations de confinement publiées par ConnectWise, tout en préservant les preuves pertinentes pour l'enquête. Pour une liste complète des détections, veuillez consulter la section « Détections ».

Que se passe-t-il ?

Storm-0940 est un acteur lié à l'État chinois (sans alias sectoriel connu) actif depuis 2021 et ciblant des organisations de divers secteurs pour le vol de données. Cet acteur a historiquement obtenu un accès initial par pulvérisation de mots de passe et exploitation d'applications exposées à Internet, avant d'utiliser des comptes compromis pour se déplacer dans les environnements ciblés. Dans les environnements cloud, il a également établi sa persistance en ajoutant des identifiants à des applications OAuth existantes, ce qui lui permet un accès continu aux ressources Microsoft 365. Il a utilisé ces applications pour accéder à des courriels et à d'autres données et les exfiltrer via Microsoft Graph.

Dès septembre 2026, Storm-0940 utilisait le framework de test d'intrusion basé sur l'IA, ARTEX, pour automatiser des attaques ciblant des centaines d'organisations dans le monde entier et dans un large éventail de secteurs. Ces secteurs comprennent l'aérospatiale et la défense, l'automobile, la chimie, l'énergie, les services financiers, le gouvernement, le secteur juridique, l'industrie manufacturière, les médias, le secteur militaire, les semi-conducteurs, les logiciels, les technologies, ainsi que les groupes de réflexion et les organisations à but non lucratif. Lors de la compromission de la chaîne d'approvisionnement ConnectWise, Storm-0940 a utilisé ARTEX pour accélérer l'analyse et la reconnaissance, les attaques par pulvérisation de mots de passe et l'exploitation abusive des applications OAuth chez les victimes en aval.

Plusieurs de ces attaques menées par Storm-0940 via ARTEX ont permis à l'attaquant d'obtenir un accès privilégié à l'infrastructure cloud d'une organisation – notamment dans de nombreux cas où le délai entre le ciblage initial et l'obtention de cet accès privilégié était inférieur à 3 heures. Automatisées par l'IA, ces activités génèrent un volume important de trafic et de données de journalisation susceptibles de déclencher des alertes. Cependant, la rapidité de ces activités laisse très peu de temps aux équipes de défense pour répondre à ces alertes et corriger l'accès de l'attaquant de manière coordonnée. L'activité de Storm-0940 illustre comment un acteur malveillant disposant d'un large éventail de cibles peut utiliser un outil d'IA automatisé et des informations d'authentification privilégiées pour tenter rapidement de compromettre de nombreuses organisations. Bien que la majorité des attaques aient échoué, Storm-0940 a réussi à obtenir une persistance privilégiée dans le cloud de nombreuses organisations en un temps record.

Qu'est-ce qu'ARTEX ?

ARTEX est un framework de test d'intrusion open source capable d'utiliser n'importe quel modèle d'IA pour automatiser divers flux de travail de sécurité offensive. Le framework ARTEX est un système LLM multi-agents écrit en Go avec une interface Next.js. Bien que l'interface utilisateur et les résultats générés soient par défaut en anglais, le framework peut être configuré en coréen, mandarin, espagnol ou japonais. ARTEX est un système d'agents pilotés par LLM qui exécutent un test d'intrusion autonome, de la reconnaissance à l'exfiltration de données, avec une intervention humaine minimale. Les agents collectent ensuite les ressources et les vulnérabilités découvertes dans un graphe au cours du test. En octobre 2026, des rapports publics ont indiqué que le framework ARTEX était utilisé par des acteurs malveillants, notamment lors des violations de données personnelles visant des institutions financières coréennes. Microsoft Threat Intelligence a identifié des acteurs malveillants opérant dans plusieurs régions géographiques et utilisant le framework ARTEX.

ConnectWise a publié un avis initial le 16 octobre 2026, puis a étendu ses informations et ses recommandations de confinement. Cet avis détaille l'enquête menée par ConnectWise sur une tentative d'accès non autorisé liée à Cloud Backup. Suite à cet accès non autorisé, Storm-0940 a utilisé ARTEX pour tenter de se connecter à plus de 2 250 locataires. Bien que l'exploitation abusive des applications OAuth soit une pratique courante chez Storm-0940, l'acteur a ici utilisé ARTEX pour accélérer son activité à la vitesse d'une machine.

Figure 1. Ampleur et rapidité d'un sous-ensemble de la campagne ARTEX automatisée de Storm-0940 sur les locataires en aval, incluant la portée et les connexions rapides.

Attaque par pulvérisation de mots de passe

Entre le 10 et le 14 octobre 2026, l'infrastructure Storm-0940 (144.172.64.99) a mené une campagne automatisée de pulvérisation de mots de passe inter-locataires ciblant 327 comptes répartis dans huit organisations afin d'accéder à Microsoft 365 et Exchange Online. Au cours de cette vaste campagne, la télémétrie Microsoft a enregistré plus de 151 000 échecs de connexion, avec un pic d'activité le 11 octobre (2 900 échecs par minute) et plus de 111 000 échecs concentrés sur une seule journée. La campagne a combiné une pulvérisation de comptes à grande échelle et à faible débit avec des tentatives d'authentification soutenues et massives contre des identités sélectionnées. 48 comptes ont enregistré plus de 1 000 échecs de connexion, et les réponses de verrouillage ont représenté près de 98 % de l’activité totale. Malgré l’ampleur de l’incident, aucune authentification réussie, émission de jeton, appel Graph ou changement de répertoire n’a été observé.

Accès client en aval

Le 15 octobre, immédiatement après cette activité notable, des rapports publics concernant la compromission de l’application de sauvegarde cloud ConnectWise ont commencé à circuler, faisant directement référence à des indicateurs de compromission correspondant à la même plage d’adresses réseau que celle observée lors de la précédente campagne d’attaques par pulvérisation de mots de passe (144.172.64.x). Un avis du fournisseur de sauvegarde cloud concerné, publié le 16 octobre, a ensuite partagé des indicateurs supplémentaires, dont une adresse IP correspondant exactement à l’infrastructure 144.172.64.99 responsable de la précédente campagne d’attaques par pulvérisation de mots de passe.

De plus, après avoir pris le contrôle des identités de plusieurs applications cloud ConnectWise, les agents d'IA agissant pour le compte de l'attaquant ont continué d'utiliser la même plage d'adresses IP pour s'authentifier auprès des environnements clients. Ils ont ainsi exploité l'accès illicite obtenu grâce aux identifiants volés de ces applications, tirant parti de la confiance déjà établie entre ces applications et le client. Dans certains de ces environnements, les agents d'IA (agissant pour le compte de l'attaquant) sont allés au-delà de l'authentification et ont effectué des opérations sur Microsoft Graph et l'annuaire, notamment de la reconnaissance, des modifications des identifiants d'application pour assurer leur persistance, ainsi que des modifications d'identités, de groupes et de rôles privilégiés. Microsoft a identifié plusieurs environnements clients présentant des signes d'activité ultérieure, illustrant comment une application tierce compromise disposant de privilèges élevés peut fournir un accès dépassant son usage initial.

La modification des identifiants d'application effectuée par les agents associés à Storm-0940 dans les environnements des victimes ciblées peut permettre une persistance via d'autres identités, identifiants et services cloud. Ces modifications peuvent rester actives comme une porte dérobée même après la neutralisation de l'application initialement compromise. Les organisations doivent examiner les connexions des principaux de service ainsi que l'activité ultérieure de Microsoft Graph, les modifications d'annuaire et les accès aux ressources, en corrélant les événements suspects avec les activités administratives autorisées. La présence d'une application affectée, voire une authentification réussie, n'indique pas nécessairement un accès non autorisé aux données ou une exfiltration de données.

Mesures d'atténuation et de protection

Microsoft recommande les mesures d'atténuation suivantes pour réduire l'impact de cette menace. Consultez la fiche de recommandations pour connaître l'état de déploiement des mesures d'atténuation surveillées.

Actions immédiates

• Maintenez les connexions aux applications ConnectWise affectées désactivées jusqu'à ce que ConnectWise fournisse des instructions de restauration officielles.

• Ne supprimez pas les applications d'entreprise dans un premier temps. Préservez la configuration et les preuves avant d'effectuer des modifications irréversibles.

• Répertoriez les quatre ID d'application répertoriés dans ce profil et enregistrez l'ID d'objet du principal de service local dans chaque locataire.

• Examinez chaque locataire Microsoft 365 où les applications affectées sont ou ont été installées ou autorisées, même si l'intégration n'est plus utilisée. Effectuez une recherche par ID d'application plutôt que par nom d'affichage. - Conservez les enregistrements de connexion et d'audit Microsoft Entra disponibles (https://learn.microsoft.com/en-us/entra/architecture/security-operations-applications), les enregistrements d'audit Microsoft Purview, les données SIEM et les données de télémétrie Microsoft Graph précédemment configurées. Ne retardez pas les mesures de confinement urgentes en attendant les exportations.

• Examinez l'activité à partir du 15 octobre 2026 au moins. Lorsque des enregistrements sont disponibles, étendez l'examen des connexions des principaux de service jusqu'au 1er octobre et examinez les activités antérieures connexes, notamment les échecs d'authentification et les anomalies de volume.

• Examinez séparément les connexions des principaux de service réussies et échouées. Examinez les sources inconnues et les activités en dehors de l'infrastructure attendue du fournisseur ; ne limitez pas l'examen aux adresses IP publiées.

• Examinez les enregistrements d'audit Microsoft Entra (https://learn.microsoft.com/en-us/entra/architecture/security-operations-applications) pour les ajouts d'informations d'identification d'application ou de principal de service ; les nouvelles applications, les nouveaux principaux de service ou les nouveaux propriétaires ; les attributions de rôles d'application et les autorisations accordées ; Attributions de rôles privilégiés ; modifications apportées aux utilisateurs, aux groupes, aux méthodes d’authentification ou à l’accès conditionnel. En cas d’activité suspecte confirmée, révoquez les autorisations inutiles et renouvelez les informations d’identification.

• Examinez les journaux d’audit Microsoft 365 afin de détecter les activités de reconnaissance telles que la consultation de répertoires, les autorisations et les approbations provenant d’adresses IP inhabituelles.

• Examinez les journaux d’audit Microsoft 365 afin de détecter les accès inhabituels à la messagerie ou aux fichiers, les téléchargements, les transferts, les règles de boîte de réception ou de transport, les autorisations de boîte aux lettres déléguées et l’activité des ressources associées.

• Conservez les preuves, puis demandez à un intervenant dûment autorisé de supprimer les informations d’identification, les autorisations, les propriétaires, les attributions et les identités non autorisés confirmés.

Recommandations supplémentaires

• L’utilisation abusive de l’IA par les acteurs malveillants accélère les risques dans les environnements d’entreprise en amplifiant les menaces existantes telles que l’exploitation des vulnérabilités, le phishing, les logiciels malveillants et les activités internes. Pour aider les organisations à garder une longueur d'avance sur les menaces liées à l'IA, Microsoft a lancé le Tableau de bord de sécurité pour l'IA. Ce tableau de bord offre aux utilisateurs une vue unifiée de leur niveau de sécurité en matière d'IA en agrégeant les risques liés à la sécurité, à l'identité et aux données provenant de Microsoft Defender, Microsoft Entra et Microsoft Purview. Les organisations peuvent ainsi identifier les actifs d'IA présents dans leur environnement, reconnaître les nouvelles tendances en matière de risques et prioriser la gouvernance et la sécurité de leurs agents, applications et plateformes d'IA. Pour en savoir plus sur le Tableau de bord de sécurité Microsoft pour l'IA, consultez : Évaluer les risques liés à l'IA au sein de votre organisation avec le Tableau de bord de sécurité Microsoft pour l'IA (Aperçu). - Activez la protection contre les menaces pour les services d'IA dans Microsoft Defender for Cloud afin d'identifier en temps réel les menaces pesant sur les applications d'IA générative et de faciliter la résolution des problèmes de sécurité.

• Appliquez le principe du moindre privilège aux autorisations et aux octrois de consentement des applications mutualisées.

• Surveillez les ajouts d'informations d'identification, les attributions de privilèges et les activités anormales des applications, en particulier celles disposant d'autorisations et d'étendues élevées.

• Vérifiez que la rotation des informations d'identification du fournisseur et toute correction au niveau du locataire ont éliminé tout accès non autorisé restant.

Évaluez l'impact opérationnel sur les flux de travail de sauvegarde et de restauration et suivez les recommandations actuelles de ConnectWise en matière de restauration.

Détections de Microsoft Defender XDR

Les clients Microsoft Defender XDR peuvent consulter la liste des détections applicables ci-dessous. Microsoft Defender XDR coordonne la détection, la prévention, l'investigation et la réponse aux incidents sur l'ensemble des terminaux, identités, messageries et applications afin d'offrir une protection intégrée contre les attaques telles que la menace décrite dans cet article.

Les clients disposant d'un accès provisionné peuvent également utiliser Microsoft Security Copilot dans Microsoft Defender pour enquêter sur les incidents, y répondre, rechercher les menaces et protéger leur organisation grâce à des informations pertinentes sur les menaces.

| Tactique | Activité observée | Couverture de Microsoft Defender (Titre de l'alerte) |

| --- | --- | --- |

| Découverte | Des comportements inhabituels ont été observés dans l'activité de l'API Graph provenant de l'application ConnectWise associée. | Activité inhabituelle de Microsoft Graph associée à une application ConnectWise compromise |

| Persistance de l'élévation de privilèges Accès initial/Comptes valides | Une application s'est attribuée un rôle à privilèges élevés via une opération d'ajout de membre à un rôle. Aucune auto-attribution de ce rôle n'a été observée pour cette application au cours des sept derniers jours. | Rôle d'administrateur général auto-attribué à l'application |

| Découverte | L'activité de l'API Graph pour l'utilisateur provient d'un indicateur d'adresse IP actif et en production du Centre de renseignement sur les menaces Microsoft. | Activité de l'API Graph provenant d'une adresse IP du Centre de renseignement sur les menaces Microsoft |

| Comptes valides | Une connexion utilisateur provenant d'une infrastructure d'acteur malveillant étatique a été détectée pour ce compte. Un acteur malveillant a peut-être compromis le compte utilisateur pour obtenir un accès non autorisé et mener d'autres activités malveillantes sur votre système. Menez une enquête rapidement afin d'atténuer les risques de sécurité. | Connexion suspecte provenant d'une infrastructure d'acteur malveillant étatique vérifiée |

| Vol de jeton d'accès à l'application | Une connexion a été observée à partir d'une adresse IP d'acteur malveillant connue. Nous vous recommandons d'enquêter rapidement sur cette alerte, car un acteur malveillant pourrait déjà utiliser les informations d'identification volées pour se déplacer latéralement sur le réseau. | Connexion malveillante à partir d'une adresse IP d'acteur malveillant connue |

Détections de Microsoft Defender pour les applications cloud

| Tactique | Activité observée | Couverture de Microsoft Defender (Titre de l'alerte) |

| --- | --- | --- |

| Persistance | Un rôle d'application à privilèges élevés a été attribué à une application ou à un principal de service. | Ajout suspect d'attributions de rôles d'application à un principal de service |

| Collecte | Accès massif à une boîte aux lettres par une application OAuth après l'attribution d'un rôle suspect. | Activité d'accès à la messagerie suspecte par une application OAuth suite à l'attribution d'un rôle |

| Collecte | Une application OAuth suspecte, ajoutée récemment, a commencé à accéder au dossier Messages Teams à l'aide d'un client de messagerie. | Application OAuth nouvellement ajoutée accédant au dossier Messages Teams via un client de messagerie |

| Accès aux informations d'identification | Une activité d'application OAuth provenant d'un FAI inhabituellement fréquenté a été observée, indiquant un comportement potentiellement suspect. | Activité d'une application OAuth provenant d'un FAI inhabituellement fréquenté |

| Exfiltration | Des applications OAuth ont été observées en train d'effectuer des activités d'énumération Microsoft Graph SharePoint importantes peu après des événements de création ou de modification d'application | Application OAuth suspecte créée à partir d'un contexte utilisateur à risque effectuant une énumération de graphes SharePoint |

| Élévation de privilèges | Autorisations à risque permettant à un utilisateur d'agir en tant qu'autres entités ou d'obtenir le statut d'administrateur général, accordées au principal de service | Rôles d'application à privilèges élevés attribués à un principal de service |

| Persistance | Un principal de service s'est attribué un rôle d'application | Ajout suspect de rôles d'application par un principal de service à lui-même |

Microsoft Defender pour le cloud (Microsoft Defender pour Key Vault)

| Tactique | Activité observée | Couverture de Microsoft Defender (Titre de l'alerte) |

| --- | --- | --- |

| Persistance | L'acteur malveillant a compromis une application mutualisée à laquelle des clients Azure avaient accordé l'accès à leurs environnements. Utilisant l'accès approuvé et les autorisations existantes de cette application, l'acteur a atteint les environnements clients en aval. Il y a énuméré des ressources cloud et lu des secrets à grande échelle sur plusieurs coffres de clés Azure. Une énumération de clés et une opération de déballage de clé ont également été observées. | KV_AccountVolumeAccessDeniedAnomaly |

Microsoft Security Copilot

Les clients de Security Copilot peuvent utiliser l'interface autonome pour créer leurs propres invites ou exécuter les modèles d'invites prédéfinis suivants afin d'automatiser les tâches de réponse aux incidents ou d'investigation liées à cette menace :

• Investigation d'incident
• Profil de l'acteur de la menace
• Rapport Threat Intelligence 360 basé sur l'article MDTI

Notez que certains modèles d'invites nécessitent l'accès à des modules d'extension pour les produits Microsoft tels que Microsoft Defender XDR ou Microsoft Sentinel.

Rapports de renseignements sur les menaces

Les clients Microsoft peuvent utiliser les rapports suivants dans les produits Microsoft pour obtenir les informations les plus récentes sur l'acteur malveillant, l'activité malveillante et les techniques abordées dans ce blog. Ces rapports fournissent des renseignements, des informations de protection et des recommandations pour prévenir, atténuer ou contrer les menaces associées détectées dans les environnements clients.

Analyse des menaces de Microsoft Defender XDR

Profil d'activité : Campagne étatique de grande envergure pilotée par l'IA et utilisant ARTEX pour compromettre la chaîne d'approvisionnement

Indicateurs de compromission (IOC)

| Indicateur | Type | Description |

| --- | --- | --- |

| 144.172.64[.]128 | IP | Ces adresses IP ont été observées lors de connexions et d'activités liées à l'API Graph dans les environnements clients des applications ConnectWise. |

| 144.172.64[.]99 | IP | |

| 144.172.64[.]60 | IP | |

| 187.15.88[.]186 187.15.90[.]217 187.15.89[.]186 | IP | Ces adresses IP ont été observées accédant à l'API Graph via les applications compromises. Cependant, étant donné qu'il s'agit d'adresses IP VPN, cette activité est transitoire et pertinente pour l'enquête des 15 et 16 octobre, dans le contexte des applications compromises. |

| Python-urllib/3.12 | User Agent | Ces agents utilisateurs ont été observés en train d'effectuer des connexions et des activités avec l'API Graph sur des environnements clients utilisant des applications ConnectWise. |

| python-requests/2.31.0 | Agent utilisateur | |

| python-requests/2.34.2 | Agent utilisateur | |

| curl/7.88.1 | Agent utilisateur | |

| azure-toolkit/1.0 | Agent utilisateur | |

Recherche avancée

REMARQUE : Les exemples de requêtes suivants vous permettent de rechercher des événements sur une semaine. Pour explorer jusqu'à 30 jours de données brutes afin d'inspecter les événements sur votre réseau et de localiser les indicateurs potentiels liés à cette campagne sur plus d'une semaine, accédez à la page Recherche avancée > onglet Requête, puis sélectionnez le menu déroulant calendrier pour mettre à jour votre requête et effectuer une recherche sur les 30 derniers jours.

Recherche avancée dans Microsoft Defender XDR

1- OAuthAppInfo → L'application concernée est-elle présente, activée et quelles sont ses autorisations ?

Commencez par OAuthAppInfo pour déterminer si des applications ConnectWise concernées sont présentes dans le locataire et comprendre les accès qui leur ont été accordés. La requête identifie l'application et son principal de service spécifique au locataire, indique si elle est activée, son niveau de privilège, les informations de consentement et les autorisations individuelles qui lui sont attribuées.

Cela permet d'établir l'exposition potentielle du client et fournit aux enquêteurs l'identifiant du principal de service (ServicePrincipalId) nécessaire pour poursuivre la recherche. Une correspondance ne signifie pas que l'application a été utilisée de manière abusive, mais seulement qu'elle est présente et qu'elle a potentiellement eu accès. L'étape suivante consiste donc à déterminer si le principal de service a effectivement été utilisé. [Exécuter] [requête](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAB9_1moAA62UW2vbQBCFz3Oh_0HkqYa4UXxpbEoe0hRK6C1glz6UPsi2krixY2E5bgP98f1mJIOtyI6Cy7IrzeycmbM7MztRrIWOgnPNdMeINUT-rrFS_s-UMFKdaqQHdiNN2RnqlX7opV6Ay8aB2gr 1BkSojq7UVd2lLoi6WqAj1jpySw0N-Iuw7Pp-qCa2LUYE4kCHOmKU8wnQT9i5x2OgdyCGukVKCmwaHieEVVPHHtmidpxXy1meOIdGzquN3EVvF h10bWcUPsmmzvysHmsf2W4nLTAJYRo7hyExLOqAGAP0xuQYfid-L3YHpmui7aAzFl34GZ8GcnUmHzQHm-jGmQQ-icPY9Hj1h_00WvhFv-XWM3 hY7zmLs9cjsiWsfipmt6it-vVNU9ezd5dV2AusLe9v7qN3rzYWd6bGlZH2MfUIG7K7aW-5tqyWli_UEbYT1ydhZh6oiU1fyclmrT3IvhF6yGX 89vGeaL10GMxwVyyjp3ztdwLrN_XapdeamR9_WIfb_pa-_a7KzV4zzGvneLhCxF5LN6TMvEPnENX4xShu3DKtn7LldeqkS89AhL5oRd4_yJuWR OnsViu5cii2_gIrfpeccsqPn0GbHK8av6T0DM9CvvkvW4WSZWOd_kVNZ5mxY957L0FyDOz3vH_9j7bFKCyDytcyxmY_udbVpegD3D_9Rjnuedat1pPVqMu6u7qlfgfpXzVD9V6bcqVZPl3N7eUf4SD-AfaDPXAd-UXB1ueQt3nSRwz4b-B4d38586CAAA&timeRangeId=day)

let ConnectWiseApps = dynamic([

"506e08f9-6e9a-4da4-942b-a099a03644ae", // Sauvegarde cloud ConnectWise

"24205314-2b89-4e07-a2a4-579e898a5640", // ConnectWise - MS Teams

"0de14c77-b9b0-4137-9360-34878a929827" // ConnectWise - MS Graph
]);

OAuthAppInfo
| where OAuthAppId in (ConnectWiseApps)
| mv-expand Permission = Permissions
| étendre

NomAutorisation = tostring(Autorisation.NomAutorisation),

ApplicationCible = tostring(Autorisation.NomAffichageApplicationCible),

IDApplicationCible = tostring(Autorisation.IDApplicationCible),

TypeAutorisation = tostring(Autorisation.TypeAutorisation),

NiveauPrivilègeAutorisation = tostring(Autorisation.NiveauPrivilège),

StatutUtilisation = tostring(Autorisation.StatutUtilisation)

| projet

NomApp,

IDApplicationOAuth,

IDPrincipalService,

StatutApp,

NiveauPrivilège,

ConsentementAdministrateur,

NomAutorisation,

TypeAutorisation,

NiveauPrivilègeAutorisation,

ApplicationCible,

IDApplicationCible,

StatutUtilisation
| Trier par AppName (ordre croissant), PermissionPrivilegeLevel (ordre décroissant)

2 – EntraIdSpnSignInEvents + GraphAPIAuditEvents → Le principal de service s'est-il authentifié ? Quelle activité Microsoft Graph a suivi ?

Utilisez cette requête pour analyser les connexions du principal de service et l'activité de l'API Microsoft Graph associées aux applications ConnectWise identifiées et aux adresses IP suspectes, à partir du 13 octobre 2026.

La requête combine les deux types d'événements dans une vue chronologique, aidant ainsi les équipes de sécurité à identifier les authentifications suspectes et les opérations Graph associées, notamment les modifications potentielles d'identifiants, les modifications de privilèges et les accès inhabituels aux ressources. Supprimez le filtre IP pour une recherche plus large. Les résultats nécessitent une corrélation plus poussée, car l'authentification seule ne suffit pas à établir une compromission. [Exécuter] [requête](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAGeB1moAA8VVbWvTUBQ-nwX_w2WfOljWNE1fgijMrUgRZawDP4gf0uZqo1kbmqgM9uN9zpMuW5NoIg7k0tyX8_ac555zm4iVXIwsMO_kh8SywuoS61g2WMeSSoKTuUSSQe8lfpHcQhbKDbV78lGeyzPpm2Icwdcl9C9kIEdyIn0MI29hsZWf-P45Voho GqvZoweP5h88fpJjecFVwrz7Zk7PG8jVNsTZFtYZ8mzLciA-xinmCXCdypi7sbhl1urbNHjv4ifAeAo_A6yn8NTmp8qMkXPINhgWmrl8gEWG9RkYTTvxMwITY1i4iP8Z2TjcBbBwgCzC7GMV4OvJEqsQmgHlrgyJ3sfaliw041GcCSTf4dHIa1is5Bt2aQWNxzguUA3JlMOoU-LyiXJCDN4e1wj7AOeqMcXZiIjcVjQOfu9Qj0ausVd2sgoSF0gtM awQQ6MuEWOJc0UyAL4JeRmylhzMPhBMiCIAPsXjYd8dyRvccQhG1kRi9uMpkSiOBXi_RVfGvAGDWgsRNyeyHfdb7rUfDytuBp2cGLVPF0C6wTeWL5i1WmfobEudgss7dP2aXi15jsGyhSwn36m8YnVqdWslF9Ieb99DJg4yc_kdAkHdX1HhSdkhMfmds75ivja9lt5o8qq9dwYfEfcZ39J7b797g47L-71hDhv2pda6zqpl6E3fPYtohtwmnFdEr pIct2LQgTv6Ubs1EVjqNeXaxHKXF_Yho27_Jv87v5Q2X_e3-LhL6zV1ciBvrpEuOpr5oV4bs--JwP6lVRFH-b0msyHZdZBRynxjMKa2hkw9eDJk5dCX3smy5M nwn_gxlisypfe2o48L9oPmHuJumvFXbeq81DvmUD7D-Y6dohUU1SKcU6a2SYX_4vb7RuXR_nVasorq9641lAHhLw9EKqEoCQAA&timeRangeId=SetInQuery)

laisser Applications = dynamique([

"506e08f9-6e9a-4da4-942b-a099a03644ae",

"24205314-2b89-4e07-a2a4-579e898a5640",

"0de14c77-b9b0-4137-9360-34878a929827" 
]);

Soit IPs = dynamique(["144.172.64.60", "144.172.64.99", "144.172.64.128"]);

union kind=outer

(EntraIdSpnSignInEvents

| extend EventType = "Connexion"),

(GraphAPIAuditEvents

| extend EventType = "API Graph", IPAddress = IpAddress)

| where Timestamp >= datetime(2026-10-13)

| where ApplicationId in (Apps)

| where IPAddress in (IPs) // Commenter pour une recherche plus large

| project-away IpAddress
| order by Timestamp asc

3 – Lectures groupées de secrets Key Vault par une seule identité sur plusieurs coffres-forts

[Exécuter] [requête](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAC-J2moAA21SXUsDMRCcZ8H_EPp0hXuwfjxaOI6iRVCxxVeJd8VG-yEmVSr-eCdzetfSsCS32czObmavxAJrbFDjBjNs8QjL0wIBI3wysqLncYwj_MDgC3PGPrgMpnBY0vNEWHrvjA25LF7ImGGAc7L2k7kFKmY5VnD8bnErhnhzSTPoYcJTJXTAlfaeuFfkNLj mObDiRLUDO_YoWbXe4TjFCe2_uidmSbPkdPgW7rCGV7ZhNGoS357xBTkjnS5le9dg6z10Qe6NOB-kzVqniv5YauTqyMjGuG8rxs7eiHpiZCameFswpxabp-V_r-rvcDxTvbg71s8SM4k5A1zQb94Rle_6vWPmq1QI6u8QMdU_YOVHRGqaaR2H7RS6uaVVbJBn-AUhUv4_jAIAAA&timeRangeId=SetInQuery)

CloudKeyVaultEvents

| where Timestamp > ago(14d)

| where ActivityName == "SecretGet" and HttpStatusCode == 200
| résumé SecretGets = count(), VaultCount = dcount(AzureResourceId),

IPs = make_set(IPAddress, 20)

par bin(Timestamp, 15m), AccountObjectId, AccountTenantId

| où SecretGets >= 20 et VaultCount >= 3

4 – Activité Key Vault, Storage et ARM à partir des adresses IP de l'IOC

[Exécuter] [requête](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAN2J2moAA72TS0vDUBCFz1rwP4SuGgiiVXwgCkFcFJ9YcSMuahNipDalSasVf7zfnbSoTVp3Jcy9mck5M-fcJH3FKuSprVvl7CdEpKkG6upNqXpq6lEN7WiPa4v9QC32_VnW0iFPg6WIfW2vfH7E1dCTfB1rUxsaMzlVxuqyps7UJxuj6QKlUz2ga0yt0LkmVAbcOd1fxLteqIyI0k8IK7I8N0wK 2qNn6dWfsWJ90MN1isg6Nm2E73h2Go3KZOfH042GNq1LpVRc4kO4rjIhCnjXdpIx84KKpw6IzHokIELWxPQm1jUGsT6Xf7Ws9uiQOevIpiVMqyLnvnNdUnFov_YMQlvTtb7RUHe6-sfjcke-eVjUdw-q9FsYbkjtlHDnmaFxlz8h-sUdwsv0CqNnf2CVHyyoD2pPod5DYF_ip3Fj3DrsT6c2_LkO984jY3t65nutd9Il6-kbbDmXvC4EAAA&timeRangeId=SetInQuery)

let IPs = dynamic(["144.172.64.128","144.172.64.60","144.172.64.99"]);

union
(CloudKeyVaultEvents | where IPAddress in (IPs) | extend Source = "KeyVault", Operation = ActivityName),

(CloudStorageAggregatedEvents | where IPAddress in (IPs) | extend Source = "Storage", Operation = tostring(OperationNamesList)),

(CloudAuditEvents | where IPAddress in (IPs) | extend Source = "ARM", Operation = OperationName)
| where Timestamp > ago(30d)
| project Timestamp, Source, IPAddress, Operation, AzureResourceId
| Trier par horodatage (ordre croissant)

Requêtes de recherche Sentinel

1-SigninLogs → Un principal de service s'est-il authentifié ? Si oui, depuis quel emplacement et auprès de quelle ressource ?

Utilisez SigninLogs pour déterminer si l'identité d'une application affectée s'est effectivement authentifiée. Cela permet de passer de l'analyse d'une exposition potentielle à l'observation de l'authentification, ce qui permet aux équipes de défense d'examiner l'application et le principal de service, ainsi que l'adresse IP source, les informations géographiques, le résultat de l'authentification et la ressource consultée. Les enquêteurs doivent évaluer ces connexions par rapport à l'activité attendue de l'application et rechercher des anomalies au niveau de l'infrastructure source, des ressources ou des schémas d'authentification avant d'analyser l'activité Graph suivante. [Exécuter] [requête](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAA3U12oAA61UXWvbQBCc50L_g8iTA1ElS7JlUVpIUwimH4S60IfSB1k-J24Ux1huQqA_vrMjOY0cJ6hQDt3d3n7Nze6phMMGgTfGGcZYYoYFCuQ8u8YaFTVv-M1wR12OK2l7-I6XeMHzehygj4TjFdcUEdehpCFCH OCotkPQZLF5N0-XaBnH_4vW537EeN2i_cAhXmtXNnydULfkcLTc4Bs9Ku6PseLoytqA_AzpFRLJnLfzJWX08IlxxjXhLuMcYcpdTstM-hCx7pFw77as6Bb7cdl5Sc0vRg28d_QqcElptYMoUq6QyGLx5ivzSNgSIU2FI2qwDShnPDeLEc8GQhV2QuTz-4QJ56-UjaVqB01ItE44CuaxzFPmmfLc0PSJMRU_sT rN55oQRSokGTEapojyv6E5Zc1zMnOxg6ZQTOsbu-Wc-ULxnwpNIhZ84YtUwSH3BTHFDZYpT_vq4S2WCWtwhw_qjkvKZ7RYE5WhW0u-lpyzdu0unNDnnHYLfh9pdd5w95tet0Ru_k7MLsirwym_Oqp1tVMXvEXdo_XJprHsqf4R0ftEG2qOmXdf9Lrbx4pmSAKvh-ffxf449vKOGWUmudL72cZ76r902KrolbA v9TKty201y8CziDf0dbilZEyWWgvd2DQb1iDw5oxqcczvQiic7Ax3eZ97odtV8O7vsZLfz-a-Dzvmae6PWnZ_WWyfT-Rzo9yOLKxV7YLzSh 3xWW_G7Xh9EXbjYC2_96qA3SHnPbv5PMbyuEJt_YmqYrryAU8WZ8uT6WdNX0_F-HO9mTNDgT97GqX4nAYAAA&timeRangeId=SetInQuery)

laisser IPIndicators = dynamic([

"144.172.64.60", // Indicateur IP

"144.172.64.99", // Indicateur IP

"144.172.64.128" // Indicateur IP
]);
let ConnectWiseApps = dynamic([

"506e08f9-6e9a-4da4-942b-a099a03644ae", // Sauvegarde cloud ConnectWise

"24205314-2b89-4e07-a2a4-579e898a5640", // ConnectWise - MS Teams

"0de14c77-b9b0-4137-9360-34878a929827" // ConnectWise - MS Graph
]);

SigninLogs
| où TimeGenerated >= datetime(2026-10-13)

| où AppId est dans (ConnectWiseApps)
//| où IPAddress est dans (IPIndicators) // Commentez pour examiner toute l'activité de ces applications

| project

TimeGenerated,

AppId,

ServicePrincipalName,

ResourceDisplayName,

ResourceId,

IPAddress,

CorrelationId
| order by TimeGenerated asc

2 – MicrosoftGraphActivityLogs → Quelle activité observable de l'API Graph a suivi ?

Utilisez MicrosoftGraphActivityLogs pour analyser l'activité observable de Microsoft Graph après l'authentification. Cette requête permet aux équipes de sécurité de se concentrer sur l'ID d'application ou l'ID de principal de service spécifique au locataire et d'examiner des détails tels que l'URI de la requête, la méthode HTTP, l'état de la réponse, les étendues, l'adresse IP source et la charge de travail cible. Cela permet d'établir quelle activité Graph s'est produite après l'authentification du principal de service et fournit un contexte supplémentaire sur les ressources auxquelles l'application a tenté d'accéder.

Il est important de noter que l'absence de résultats ne doit pas être interprétée comme la confirmation qu'aucun accès n'a eu lieu ; la télémétrie de l'API Graph doit être prise en compte conjointement avec les autorisations de l'application et l'activité d'authentification du principal de service identifiées lors des étapes de recherche précédentes. [Exécuter la requête](https://security.microsoft.com/v2/advanced-hunting?query=H4sIAJrU12oAA61U227TQBCdZyT-IepTKtXYsZ2LhUAKeUARVFSkiAfEgy8bYupcsF2qSnw8Z46dprbTKkjIsndndubsmbOzzsRIKXZvLlcyl40kkkosIXxbyaXAyhu8idxjLZQ1V_vyTV7KC_ir50wG4uN5hXEsLsYRrZE4ciYXVZ zY9S76be9zClqA5_-hDTCfAO80tO9yLq85y2q9Zljb4DGILOUrMgrMp7LDc6pqQ-gzQpYDJktUZ9EKkGGBY4LRxyzA15UIsxCRAdcd8ViHj7nZq8IqjvNSf4aVW6DavXfIiuUG1q7FyOVeDph51M3izhNy88l0TB5uzW0IO4BfIybwDcnKOYmRhfdSFvhew1aVihYbB2wNecTYR3eOsE8Ev7IZgOOY-njsNAujDxZjMgnAU Tm5sP-NzXuceQhlVi02MTG1b7TKJfZzqP-YbHyqYJGfyxMcYR6Dk1dzieAdsIf3XBY4g3v5wO64gX2FiByslF1Oe0s7xNk1u_CSOTnWC7xLxBxYT1lZKr_xlsD_iIgftbZ_gHqHGMU3VD6F7gbZpt5Vu96wS95K1cOVp6wj--wPF9VZqMbh1wOvY-jVbZgTLQW-3evL8_fmOI7ezClQEtoF79ce76n_1nnjxNfkvuHN1Vu go0baPUVUpYzcwVKls0YPqK-pp91bUvk1MVZkZBinNWQPPFJWetB9x6yfdeWPe-vpU7hoxB30bPq7-jTXP8P7C1XrWone0dNcgUsbpxn3BWjpkYg CHKrKDO5LSa63sGZENK2MBardIsN0WM2oVXUqzZ27FX4iQv5I125MF2OvvHZEUt-piCf4XN-HyI_lL5sKY0QYBwAA&timeRangeId=SetInQuery)

laisser IPIndicators = dynamic([

"144.172.64.60", // Indicateur IP

"144.172.64.99", // Indicateur IP

"144.172.64.128" // Indicateur IP
]);
let ConnectWiseApps = dynamic([

"506e08f9-6e9a-4da4-942b-a099a03644ae", // Sauvegarde cloud ConnectWise

"24205314-2b89-4e07-a2a4-579e898a5640", // ConnectWise - MS Teams

"0de14c77-b9b0-4137-9360-34878a929827" // ConnectWise - MS Graph
]);

MicrosoftGraphActivityLogs
| où TimeGenerated >= datetime(2026-10-13)

| où AppId est dans (ConnectWiseApps)

| où IPAddress est dans (IPIndicators) // Commenter pour examiner toute l'activité Graph de ces applications

| project

TimeGenerated,

AppId,

IPAddress,

RequestMethod,

RequestUri,

ResponseStatusCode,

Scopes,

ClientRequestId,

OperationId,

RequestId
| order by TimeGenerated asc

Techniques MITRE ATT&CK observées

Cette menace a utilisé les techniques d'attaque suivantes. Pour la documentation standard du secteur sur ces techniques, reportez-vous au cadre MITRE ATT&CK.

Reconnaissance

• T1595 Analyse active | Analyse des ressources cloud pour identifier les cibles à compromettre.

Accès initial

• T1078.004 Comptes valides : Comptes cloud | Utilisation de comptes cloud compromis pour obtenir un accès.

• T1195 Compromission de la chaîne d'approvisionnement | Compromission d'une application OAuth mutualisée pour accéder aux environnements clients en aval.

• T1199 Relation de confiance | Accès aux environnements clients via une application tierce de confiance compromise.

Élévation de privilèges

• T1098.003 Manipulation de compte : Rôles cloud supplémentaires | Ajout d'attributions de rôles cloud privilégiés, y compris l'auto-attribution du rôle d'administrateur global depuis l'une des applications de gestion ConnectWise.

• T1098.001 Manipulation de compte : Informations d'identification cloud supplémentaires | Ajout ou modification des informations d'identification d'une application.

Accès aux informations d'identification

• T1528 Vol de jeton d'accès à une application | Compromission des éléments d'authentification OAuth d'une application.

• T1555.006 Gestion des secrets cloud | Lecture en masse de clés secrètes depuis Azure Key Vault

Découverte

• T1087.004 Découverte de comptes : Compte cloud | Identification des comptes cloud privilégiés en vue d'attaques ultérieures.

• T1580 Découverte de l'infrastructure cloud | Cartographie de l'infrastructure cloud en vue d'attaques ultérieures.

Références

• Utilisation abusive des identifiants du fournisseur ConnectWise (SkyKick) dans des attaques M365. Huntress

• Centre de gestion de la confiance ConnectWise – Avis relatifs à la sauvegarde cloud. ConnectWise (consulté le 19/10/2026).

• Guide d'investigation et de résolution des problèmes techniques de ConnectWise Cloud Backup. ConnectWise (consulté le 19 octobre 2026).

En savoir plus

• Pour obtenir des conseils sur l'investigation et la réponse aux applications compromises, consultez Investigation des applications compromises et malveillantes.

• Découvrez comment analyser l'authentification des applications uniquement grâce aux Journaux de connexion du principal de service.

• Examinez les informations d'identification, les autorisations, les attributions de rôles et les modifications de configuration des applications dans Microsoft Entra Security Operations for Applications.

• Découvrez comment analyser proactivement les menaces grâce à La recherche avancée dans Microsoft Defender XDR.

• Explorez les tables de recherche avancée OAuthAppInfo et GraphAPIAuditEvents.

• Découvrez comment rechercher l'activité Microsoft 365 grâce à La recherche dans le journal d'audit. - Consultez les recommandations relatives à la réduction des autorisations excessives des applications dans Sécuriser les applications en utilisant le principe du moindre privilège.