27 octobre 2026
27 octobre 2026
ConnectWise et attaques assistées par IA : que demander au prestataire de sauvegarde d’un cabinet comptable ?
Après l’incident ConnectWise, les questions et preuves à demander pour vérifier les accès Microsoft 365, les sauvegardes et la restauration du cabinet.
Après l’incident ConnectWise, les questions et preuves à demander pour vérifier les accès Microsoft 365, les sauvegardes et la restauration du cabinet.
Article vérifié le 26 octobre 2026, intégrant la mise à jour ConnectWise de 14 h UTC.
Votre prestataire sauvegarde les courriels et documents Microsoft 365 du cabinet. Après l’incident ConnectWise, une réponse générale comme « le service revient » ne suffit pas pour décider comment poursuivre l’activité. Il faut identifier le service utilisé, les vérifications réalisées et les données effectivement restaurables.
Le livrable proposé : une fiche partagée avec le prestataire, où chaque réponse renvoie à une preuve datée et chaque incertitude reste visible. L’investigation, les changements de permissions et les opérations de restauration restent confiés au professionnel compétent.
Ce que le rapport Microsoft apporte sur le rôle de l’IA
Dans son rapport du 21 octobre 2026, Microsoft attribue à Storm-0940 l’utilisation du système d’agents IA ARTEX pour accélérer l’abus d’applications ConnectWise déjà autorisées dans des environnements Microsoft 365. Selon Microsoft, ces accès ne nécessitaient pas de connexion interactive d’un utilisateur.
L’éditeur rapporte aussi, dans certains environnements, des opérations ultérieures sur les identifiants d’applications et les privilèges. Il précise toutefois qu’une application concernée présente dans un environnement, ou une authentification réussie, ne démontre pas à elle seule un accès aux données ou leur exfiltration.
Pour le cabinet, la question à poser est donc précise : quelles applications de notre environnement ont été examinées, et que montrent les vérifications ? Ce rapport ne permet pas de conclure qu’un cabinet français particulier a été touché.
Au 26 octobre, la reprise annoncée reste à vérifier cabinet par cabinet
L’avis initial ConnectWise date du 16 octobre. Dans sa communication du 25 octobre à 14 h UTC, l’éditeur visait une reprise progressive à partir du 26, sous réserve des tests et de la validation de sécurité.
La mise à jour du 26 octobre à 14 h UTC ne confirme pas l’ouverture de la restauration. ConnectWise indique poursuivre la préparation de la reprise et annonce une nouvelle communication lorsque les partenaires pourront commencer à restaurer les données des sauvegardes existantes. Cet accès doit précéder la réinscription progressive au service complet. L’éditeur rappelle que le rétablissement de l’infrastructure ne signifie pas que toutes les fonctionnalités sont disponibles. Ces informations figurent dans son avis officiel Cloud Backup, anciennement SkyKick.
Demandez au prestataire une confirmation propre au cabinet : accès à la restauration disponible ou indisponible, nouvelles sauvegardes opérationnelles ou suspendues, vérification réalisée ou encore attendue. Une annonce générale de l’éditeur ne remplace pas ces réponses.
Distinguer exposition possible, accès constaté et fuite démontrée
Pour éviter les conclusions trop rapides, utilisez des statuts explicites dans les échanges. La grille suivante est une proposition de suivi documentaire CERTIF IA ; elle ne remplace pas la qualification technique de l’incident.
Statut | Ce qu’il décrit | Question au prestataire |
|---|---|---|
Exposition possible | Un service ou une application pourrait entrer dans le périmètre concerné. | Le produit, l’application et l’environnement du cabinet correspondent-ils au périmètre examiné ? |
Authentification constatée | Une trace de connexion a été relevée ; sa légitimité et ses suites restent à examiner. | Qui s’est authentifié, quand, et quelles opérations ont suivi ? |
Accès aux données constaté | L’analyse documente un accès à des ressources identifiées. | Quelles ressources, sur quelle période et avec quelles traces ? |
Fuite démontrée | L’investigation établit une sortie non autorisée de données. | Quel périmètre est établi et quelles limites subsistent dans l’analyse ? |
Non déterminé | Les éléments disponibles ne permettent pas de conclure. | Quelle preuve manque et quelle vérification est prévue ? |
Une réponse « aucune anomalie trouvée » doit préciser la période examinée, les traces disponibles et les limites du contrôle. Elle ne doit pas devenir, par reformulation, « aucun incident possible ».
La fiche à préparer avec le prestataire de sauvegarde
Créez une fiche par service et environnement concernés. Conservez les références des pièces dans un espace autorisé du cabinet. Ajoutez le nom du responsable de suivi et la date de prochaine revue.
Champ | Information à demander | Justificatif attendu |
|---|---|---|
Service utilisé | Nom exact de l’offre, fournisseur et périmètre Microsoft 365 couvert. | Contrat ou inventaire validé par le prestataire. |
Application concernée | Nom et identifiant exacts de l’application dans l’environnement du cabinet ; correspondance avec l’avis. | Relevé daté préparé par l’administrateur. |
Vérification effectuée | Contrôles réalisés, période examinée, résultat et limites. | Compte rendu technique compréhensible par le responsable du cabinet. |
Preuve datée | Date, heure, fuseau, auteur et référence de chaque pièce. | Document ou trace conservée dans l’espace autorisé. |
Sauvegarde disponible | Dernier point exploitable confirmé, ressources couvertes et éventuelle période non couverte. | Rapport de sauvegarde et confirmation de son accessibilité. |
Restauration vérifiée | Objet testé, point de sauvegarde utilisé, destination, résultat et limites. | Compte rendu du test supervisé par le prestataire. |
Point ouvert | Question non résolue, conséquence possible, responsable et prochaine échéance de suivi. | Action inscrite au suivi, sans clôture automatique. |
Demander une preuve adaptée à chaque affirmation
Un contrat décrit une couverture prévue. Un rapport de sauvegarde documente une opération. Un compte rendu de restauration décrit un essai précis. Pour chaque réponse, vérifiez que la pièce fournie justifie réellement la conclusion, sur le bon périmètre et à la bonne date.
Le cabinet peut demander au prestataire de préciser les éléments nécessaires à la continuité : dossiers prioritaires, copies utilisables, période potentiellement manquante et solution temporaire proposée. Le responsable de mission définit les priorités métier ; le prestataire confirme leur faisabilité technique.
Exemple fictif : une archive visible, une restauration encore non vérifiée
Exemple pédagogique, sans lien avec un cabinet réel. Le prestataire confirme qu’un point de sauvegarde apparaît dans son inventaire, mais n’a pas encore réalisé de restauration. La fiche indique alors « point recensé ; restauration non vérifiée ». Elle conserve un point ouvert : organiser un test sur un document fictif ou un objet de test autorisé, dans une destination distincte choisie par le prestataire.
Si ce test réussit, le compte rendu précise ce qui a été récupéré et contrôlé. La réussite sur cet objet ne permet pas de déclarer que tous les dossiers du cabinet sont restaurables.
Utiliser l’IA pour préparer les questions, avec une relecture humaine
L’usage pédagogique proposé consiste à rapprocher des publications publiques et un dossier fictif de prestataire pour produire un brouillon de fiche. Les journaux réels, identifiants techniques sensibles, courriels clients et pièces comptables restent hors de cet exercice.
Exemple de consigne : « À partir des documents fournis, prépare une fiche comprenant service utilisé, application concernée, vérification effectuée, preuve datée, sauvegarde disponible, restauration vérifiée et point ouvert. Cite le document et le passage pour chaque information. Écris “non documenté” lorsqu’une preuve manque. Conserve les dates, conditions et contradictions. Ne conclus ni à une fuite ni à un rétablissement sans justification explicite. »
La relecture doit contrôler les omissions, les références et les changements de sens : une date visée reste une prévision ; une vérification demandée reste à effectuer ; une opération annoncée n’est pas un résultat constaté.
Ce travail complète notre guide Déployer l’IA en entreprise : de l’essai à l’usage quotidien par un cas précis de suivi fournisseur. Il ne constitue ni un audit de cybersécurité ni une procédure de remédiation.
Formation IA du cabinet : préparer l’atelier et son financement
Un atelier documentaire avec un professionnel de l’expertise comptable
Les formations CERTIF IA sont Qualiopi et font intervenir un professionnel du métier également formateur IA. Pour ce sujet, l’atelier peut porter sur la lecture critique des annonces, la préparation de questions au prestataire et la vérification d’une synthèse produite par l’IA, sur documents publics et dossier fictif.
Les livrables proposés sont une fiche de suivi, une consigne réutilisable et une grille de relecture. Cette proposition pédagogique ne revendique aucun résultat mesuré. Vous pouvez consulter les formations IA ou préparer un programme adapté au cabinet.
Atlas : confirmer le rattachement, les critères et l’accord préalable
Atlas présente la branche de l’expertise comptable, du commissariat aux comptes et de l’audit, avec l’IDCC 0787. Cette référence oriente la démarche ; le rattachement du cabinet et le statut des participants doivent être confirmés.
Les critères de financement applicables à cet atelier n’ont pas pu être établis en détail lors de la consultation. Avant tout engagement, faites confirmer :
l’effectif retenu et le dispositif mobilisable ;
l’admissibilité du programme et des participants ;
les barèmes, plafonds et fonds encore disponibles ;
les pièces nécessaires et les délais de dépôt ;
le circuit de paiement et l’éventuel reste à charge.
Obtenez l’accord préalable. Les conditions de règlement Atlas précisent que le courrier d’accord indique les modalités de paiement. Vérifiez s’il prévoit un paiement direct à l’organisme ou un règlement par l’entreprise suivi d’un remboursement. Qualiopi ne suffit pas à établir l’éligibilité de l’atelier ; aucune prise en charge n’est garantie.
Enfin, le crédit d’impôt pour la formation des dirigeants ne s’applique plus aux formations réalisées après le 31 décembre 2024. Il ne doit donc pas être intégré au financement d’une formation réalisée en 2026.
La prochaine étape : obtenir un état daté du service du cabinet
Préparez la fiche avec les éléments déjà documentés, puis demandez au prestataire de compléter les vérifications, les preuves et les points ouverts. Fixez une prochaine revue et identifiez qui décide des priorités métier.
La conclusion attendue doit rester précise : ce qui a été examiné, ce qui est disponible, ce qui a été restauré et ce qui reste inconnu. C’est sur cet état documenté que les associés peuvent organiser la continuité du cabinet.
Article vérifié le 26 octobre 2026, intégrant la mise à jour ConnectWise de 14 h UTC.
Votre prestataire sauvegarde les courriels et documents Microsoft 365 du cabinet. Après l’incident ConnectWise, une réponse générale comme « le service revient » ne suffit pas pour décider comment poursuivre l’activité. Il faut identifier le service utilisé, les vérifications réalisées et les données effectivement restaurables.
Le livrable proposé : une fiche partagée avec le prestataire, où chaque réponse renvoie à une preuve datée et chaque incertitude reste visible. L’investigation, les changements de permissions et les opérations de restauration restent confiés au professionnel compétent.
Ce que le rapport Microsoft apporte sur le rôle de l’IA
Dans son rapport du 21 octobre 2026, Microsoft attribue à Storm-0940 l’utilisation du système d’agents IA ARTEX pour accélérer l’abus d’applications ConnectWise déjà autorisées dans des environnements Microsoft 365. Selon Microsoft, ces accès ne nécessitaient pas de connexion interactive d’un utilisateur.
L’éditeur rapporte aussi, dans certains environnements, des opérations ultérieures sur les identifiants d’applications et les privilèges. Il précise toutefois qu’une application concernée présente dans un environnement, ou une authentification réussie, ne démontre pas à elle seule un accès aux données ou leur exfiltration.
Pour le cabinet, la question à poser est donc précise : quelles applications de notre environnement ont été examinées, et que montrent les vérifications ? Ce rapport ne permet pas de conclure qu’un cabinet français particulier a été touché.
Au 26 octobre, la reprise annoncée reste à vérifier cabinet par cabinet
L’avis initial ConnectWise date du 16 octobre. Dans sa communication du 25 octobre à 14 h UTC, l’éditeur visait une reprise progressive à partir du 26, sous réserve des tests et de la validation de sécurité.
La mise à jour du 26 octobre à 14 h UTC ne confirme pas l’ouverture de la restauration. ConnectWise indique poursuivre la préparation de la reprise et annonce une nouvelle communication lorsque les partenaires pourront commencer à restaurer les données des sauvegardes existantes. Cet accès doit précéder la réinscription progressive au service complet. L’éditeur rappelle que le rétablissement de l’infrastructure ne signifie pas que toutes les fonctionnalités sont disponibles. Ces informations figurent dans son avis officiel Cloud Backup, anciennement SkyKick.
Demandez au prestataire une confirmation propre au cabinet : accès à la restauration disponible ou indisponible, nouvelles sauvegardes opérationnelles ou suspendues, vérification réalisée ou encore attendue. Une annonce générale de l’éditeur ne remplace pas ces réponses.
Distinguer exposition possible, accès constaté et fuite démontrée
Pour éviter les conclusions trop rapides, utilisez des statuts explicites dans les échanges. La grille suivante est une proposition de suivi documentaire CERTIF IA ; elle ne remplace pas la qualification technique de l’incident.
Statut | Ce qu’il décrit | Question au prestataire |
|---|---|---|
Exposition possible | Un service ou une application pourrait entrer dans le périmètre concerné. | Le produit, l’application et l’environnement du cabinet correspondent-ils au périmètre examiné ? |
Authentification constatée | Une trace de connexion a été relevée ; sa légitimité et ses suites restent à examiner. | Qui s’est authentifié, quand, et quelles opérations ont suivi ? |
Accès aux données constaté | L’analyse documente un accès à des ressources identifiées. | Quelles ressources, sur quelle période et avec quelles traces ? |
Fuite démontrée | L’investigation établit une sortie non autorisée de données. | Quel périmètre est établi et quelles limites subsistent dans l’analyse ? |
Non déterminé | Les éléments disponibles ne permettent pas de conclure. | Quelle preuve manque et quelle vérification est prévue ? |
Une réponse « aucune anomalie trouvée » doit préciser la période examinée, les traces disponibles et les limites du contrôle. Elle ne doit pas devenir, par reformulation, « aucun incident possible ».
La fiche à préparer avec le prestataire de sauvegarde
Créez une fiche par service et environnement concernés. Conservez les références des pièces dans un espace autorisé du cabinet. Ajoutez le nom du responsable de suivi et la date de prochaine revue.
Champ | Information à demander | Justificatif attendu |
|---|---|---|
Service utilisé | Nom exact de l’offre, fournisseur et périmètre Microsoft 365 couvert. | Contrat ou inventaire validé par le prestataire. |
Application concernée | Nom et identifiant exacts de l’application dans l’environnement du cabinet ; correspondance avec l’avis. | Relevé daté préparé par l’administrateur. |
Vérification effectuée | Contrôles réalisés, période examinée, résultat et limites. | Compte rendu technique compréhensible par le responsable du cabinet. |
Preuve datée | Date, heure, fuseau, auteur et référence de chaque pièce. | Document ou trace conservée dans l’espace autorisé. |
Sauvegarde disponible | Dernier point exploitable confirmé, ressources couvertes et éventuelle période non couverte. | Rapport de sauvegarde et confirmation de son accessibilité. |
Restauration vérifiée | Objet testé, point de sauvegarde utilisé, destination, résultat et limites. | Compte rendu du test supervisé par le prestataire. |
Point ouvert | Question non résolue, conséquence possible, responsable et prochaine échéance de suivi. | Action inscrite au suivi, sans clôture automatique. |
Demander une preuve adaptée à chaque affirmation
Un contrat décrit une couverture prévue. Un rapport de sauvegarde documente une opération. Un compte rendu de restauration décrit un essai précis. Pour chaque réponse, vérifiez que la pièce fournie justifie réellement la conclusion, sur le bon périmètre et à la bonne date.
Le cabinet peut demander au prestataire de préciser les éléments nécessaires à la continuité : dossiers prioritaires, copies utilisables, période potentiellement manquante et solution temporaire proposée. Le responsable de mission définit les priorités métier ; le prestataire confirme leur faisabilité technique.
Exemple fictif : une archive visible, une restauration encore non vérifiée
Exemple pédagogique, sans lien avec un cabinet réel. Le prestataire confirme qu’un point de sauvegarde apparaît dans son inventaire, mais n’a pas encore réalisé de restauration. La fiche indique alors « point recensé ; restauration non vérifiée ». Elle conserve un point ouvert : organiser un test sur un document fictif ou un objet de test autorisé, dans une destination distincte choisie par le prestataire.
Si ce test réussit, le compte rendu précise ce qui a été récupéré et contrôlé. La réussite sur cet objet ne permet pas de déclarer que tous les dossiers du cabinet sont restaurables.
Utiliser l’IA pour préparer les questions, avec une relecture humaine
L’usage pédagogique proposé consiste à rapprocher des publications publiques et un dossier fictif de prestataire pour produire un brouillon de fiche. Les journaux réels, identifiants techniques sensibles, courriels clients et pièces comptables restent hors de cet exercice.
Exemple de consigne : « À partir des documents fournis, prépare une fiche comprenant service utilisé, application concernée, vérification effectuée, preuve datée, sauvegarde disponible, restauration vérifiée et point ouvert. Cite le document et le passage pour chaque information. Écris “non documenté” lorsqu’une preuve manque. Conserve les dates, conditions et contradictions. Ne conclus ni à une fuite ni à un rétablissement sans justification explicite. »
La relecture doit contrôler les omissions, les références et les changements de sens : une date visée reste une prévision ; une vérification demandée reste à effectuer ; une opération annoncée n’est pas un résultat constaté.
Ce travail complète notre guide Déployer l’IA en entreprise : de l’essai à l’usage quotidien par un cas précis de suivi fournisseur. Il ne constitue ni un audit de cybersécurité ni une procédure de remédiation.
Formation IA du cabinet : préparer l’atelier et son financement
Un atelier documentaire avec un professionnel de l’expertise comptable
Les formations CERTIF IA sont Qualiopi et font intervenir un professionnel du métier également formateur IA. Pour ce sujet, l’atelier peut porter sur la lecture critique des annonces, la préparation de questions au prestataire et la vérification d’une synthèse produite par l’IA, sur documents publics et dossier fictif.
Les livrables proposés sont une fiche de suivi, une consigne réutilisable et une grille de relecture. Cette proposition pédagogique ne revendique aucun résultat mesuré. Vous pouvez consulter les formations IA ou préparer un programme adapté au cabinet.
Atlas : confirmer le rattachement, les critères et l’accord préalable
Atlas présente la branche de l’expertise comptable, du commissariat aux comptes et de l’audit, avec l’IDCC 0787. Cette référence oriente la démarche ; le rattachement du cabinet et le statut des participants doivent être confirmés.
Les critères de financement applicables à cet atelier n’ont pas pu être établis en détail lors de la consultation. Avant tout engagement, faites confirmer :
l’effectif retenu et le dispositif mobilisable ;
l’admissibilité du programme et des participants ;
les barèmes, plafonds et fonds encore disponibles ;
les pièces nécessaires et les délais de dépôt ;
le circuit de paiement et l’éventuel reste à charge.
Obtenez l’accord préalable. Les conditions de règlement Atlas précisent que le courrier d’accord indique les modalités de paiement. Vérifiez s’il prévoit un paiement direct à l’organisme ou un règlement par l’entreprise suivi d’un remboursement. Qualiopi ne suffit pas à établir l’éligibilité de l’atelier ; aucune prise en charge n’est garantie.
Enfin, le crédit d’impôt pour la formation des dirigeants ne s’applique plus aux formations réalisées après le 31 décembre 2024. Il ne doit donc pas être intégré au financement d’une formation réalisée en 2026.
La prochaine étape : obtenir un état daté du service du cabinet
Préparez la fiche avec les éléments déjà documentés, puis demandez au prestataire de compléter les vérifications, les preuves et les points ouverts. Fixez une prochaine revue et identifiez qui décide des priorités métier.
La conclusion attendue doit rester précise : ce qui a été examiné, ce qui est disponible, ce qui a été restauré et ce qui reste inconnu. C’est sur cet état documenté que les associés peuvent organiser la continuité du cabinet.
