ScreenConnect : la DGSSI lance une alerte critique après une campagne de cyberattaques

Une alerte critique publiée le 12 novembre

La Direction générale de la sécurité des systèmes d’information (DGSSI) a publié, jeudi 12 novembre 2026, une alerte concernant une campagne de cyberattaques visant des prestataires informatiques utilisant la version cloud de ConnectWise ScreenConnect. Le bulletin classe le risque et l’impact au niveau critique. Cet outil permet aux équipes techniques d’intervenir à distance sur les ordinateurs de leurs clients.

Le bilan international initial mentionne au moins six prestataires dont les consoles d’administration ont été compromises. En 90 minutes, les attaquants ont envoyé des commandes vers au moins 288 ordinateurs répartis dans 48 organisations. Ces chiffres ne constituent pas un bilan marocain : aucune présence d’entreprises marocaines parmi les victimes n’est confirmée dans les informations disponibles.

Des accès de maintenance détournés

La campagne exploite les possibilités offertes par les outils de télémaintenance une fois les accès d’administration compromis. La fonction permettant d’exécuter des commandes à distance a été détournée pour installer un second client ScreenConnect contrôlé par les attaquants, accompagné d’un programme malveillant nommé SCKit.

Le dispositif décrit dans l’alerte vise notamment à conserver un accès aux machines et à modifier certaines protections. La compromission d’une console de prestataire peut ainsi exposer plusieurs organisations clientes, puisque ces consoles servent précisément à administrer leurs équipements. L’étendue complète de l’incident reste toutefois en cours d’investigation.

Cinq extensions désactivées par précaution

ConnectWise a identifié cinq extensions tierces susceptibles d’être associées à l’activité observée : Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link. L’éditeur les a désactivées préventivement dans les environnements auxquels il pouvait accéder. Il avait recensé environ 400 environnements partenaires disposant d’au moins une de ces extensions.

Ce nombre ne correspond pas à autant de victimes établies. La présence d’une extension ne prouve pas, à elle seule, qu’un système a été compromis. Pour les installations hébergées directement par les organisations, l’éditeur indique ne pas pouvoir effectuer cette désactivation à leur place.

Dans son point de situation du 12 novembre à 18 h 45 UTC, ConnectWise précise n’avoir trouvé aucun élément attestant d’une compromission de sa propre infrastructure ni d’une vulnérabilité de ScreenConnect utilisée pour l’accès initial. L’hypothèse d’un détournement d’extensions indépendantes reste examinée, sans conclusion définitive sur le point d’entrée.

Des contrôles demandés aux organisations concernées

La DGSSI recommande de désactiver les extensions signalées, de révoquer les sessions d’administration actives et de renouveler les mots de passe. Elle demande également de restreindre les privilèges permettant l’exécution de commandes et d’examiner les journaux d’activité afin de rechercher des connexions inhabituelles ou des installations non autorisées.

Le bulletin souligne qu’une simple mise à jour du logiciel ne garantit pas l’élimination d’une intrusion déjà installée. Les mesures préconisées portent donc aussi sur l’investigation des environnements et le contrôle des accès confiés aux prestataires, au-delà de l’application des correctifs.