Alerte  ·  14 novembre 2026ScreenConnect cloud : la DGSSI signale une campagne critique visant les prestataires MSP

Que s’est-il passé ?

La DGSSI a publié un bulletin d'alerte de niveau critique concernant une campagne d'attaques contre les consoles cloud de ConnectWise ScreenConnect et les fournisseurs de services informatiques gérés. D'après l'avis de l'éditeur, les attaquants ont pris la main sur les consoles d'au moins six prestataires et ont exécuté des commandes sur 288 postes appartenant à 48 organisations, sans que l'on sache à ce stade si des entreprises marocaines sont touchées. L'incident semble lié à des extensions tierces de la famille « RMM+ », que ConnectWise a désactivées par précaution sur les environnements qu'il gère. L'éditeur précise qu'une simple mise à jour ne suffit pas à éliminer une intrusion éventuelle, car l'outil malveillant installe ses propres mécanismes de persistance.

Qu’est-ce que cela change pour votre entreprise ?

Sont concernées en priorité les entreprises dont les postes sont administrés à distance via ScreenConnect, que ce soit directement ou par l'intermédiaire d'un prestataire d'infogérance. Beaucoup de PME ignorent quel outil de télémaintenance leur prestataire utilise : c'est la première information à obtenir. Le risque est indirect : une console compromise chez le prestataire donne accès à tous ses clients.

Concrètement, demandez à votre prestataire s'il utilise ScreenConnect en version cloud et l'une des extensions RMM+ citées, et quelles vérifications il a menées. Sur vos postes, recherchez la présence d'un second client de télémaintenance inconnu, d'une tâche planifiée nommée « TrapWatch », ainsi que d'exclusions récentes dans Microsoft Defender ou de règles AppLocker inattendues. En cas de doute, traitez la situation comme une compromission possible et faites conduire une investigation plutôt que de vous limiter à une mise à jour.

D’où vient l’information ?