Une campagne en cours cible les déploiements de ConnectWise ScreenConnect, un outil de prise en main à distance, selon The Hacker News, dans un article du 12 novembre 2026. La source ne précise pas où l’incident est survenu. Les attaquants n’exploitent pas une faille inédite, mais une faille critique déjà corrigée, ce qui déplace la question du logiciel vers sa mise à jour.
L’essentiel
- Une campagne active exploite une faille déjà corrigée de ConnectWise ScreenConnect, un outil de prise en main à distance, selon The Hacker News.
- La faille exploitée, CVE-2026-84869, est notée 9,9 sur 10 sur l’échelle de gravité CVSS, soit un niveau critique.
- Les sessions de soutien à distance d’un prestataire informatique peuvent servir de chemin vers ses clients.
Ce que l’on sait de l’incident
Selon The Hacker News, dans un article du 12 novembre 2026, une campagne active visant ConnectWise ScreenConnect exploite une faille critique déjà corrigée. La source ne précise pas où l’incident est survenu, ni dans quel pays. Le métier visé est celui des fournisseurs de services informatiques gérés et de leurs clients.
Blackpoint Cyber, dont le groupe Adversary Pursuit Group a communiqué les détails à The Hacker News, indique que la boîte à outils récupérée exploite la faille CVE-2026-84869. Le titre de l’article décrit les sessions de soutien ScreenConnect comme des chemins d’attaque potentiels vers les fournisseurs de services gérés.
Les informations disponibles ne nomment aucune organisation touchée et ne chiffrent aucun dommage. Rien n’établit non plus de lien avec le Québec ou le Canada. Nous en restons là : le scénario est documenté, sa portée géographique ne l’est pas, et il reste instructif ici.
Ce que cela change pour une PME québécoise
Une PME n’a pas besoin d’utiliser ce logiciel pour être concernée. Dès qu’un prestataire externe ouvre des sessions d’accès à distance sur vos postes, son outil devient une porte vers votre réseau. Vérifier que cet outil est à jour relève autant de votre intérêt que du sien.
Ce type d’outil sert au soutien technique : le technicien prend la main sur un poste sans se déplacer. Pour fonctionner, il s’appuie sur les permissions qui lui ont été accordées, parfois larges, parfois limitées à certains postes ou à des sessions autorisées au cas par cas ; chez un fournisseur, une même console est reliée à plusieurs clients à la fois. Quand une faille de ce type d’outil reste non corrigée, un attaquant peut viser l’outil plutôt que chaque entreprise une à une.
Le fait que le correctif existe déjà est la partie utile de l’histoire. Des vulnérabilités connues et corrigées continuent d’être exploitées : la CISA en tient un catalogue public, qui recense celles dont l’exploitation est confirmée. Le Centre canadien pour la cybersécurité place d’ailleurs la mise à jour des logiciels parmi ses contrôles de base pour les petites et moyennes organisations.
Les vérifications à faire cette semaine
Aucune de ces vérifications ne demande d’outil particulier ni de compétence technique. Elles tiennent en quelques courriels et une discussion franche avec votre prestataire informatique. Commencez par savoir qui peut se connecter à distance à vos postes, et avec quel logiciel.
Demandez à votre prestataire informatique, par courriel, quel outil de prise en main à distance il utilise chez vous et quand il l’a mis à jour pour la dernière fois. Faites-lui confirmer que l’accès à sa console d’administration exige une authentification à deux facteurs. Dressez, côté direction, la liste des fournisseurs qui disposent d’un accès à vos systèmes et faites retirer ceux dont le contrat est terminé. Convenez avec la comptabilité qu’aucun changement de coordonnées bancaires demandé pendant une séance de soutien technique n’est traité sans rappel au numéro connu.
Il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro. Savoir qui détient les clés de vos accès à distance réduit cependant fortement votre exposition à ce genre de campagne.
FAQ
Mon fournisseur informatique se connecte à distance à nos postes : quel est le risque ?
Ce mode de travail est normal et utile. Le risque tient à l’étendue des permissions accordées : selon la configuration, qui contrôle l’outil peut agir sur les postes auxquels cet outil a accès. Demandez donc à votre fournisseur comment il protège sa propre console, qui chez lui y a accès, et comment ces accès sont retirés au départ d’un employé. Un fournisseur sérieux répond sans se froisser.
Comment savoir si le logiciel d’accès à distance utilisé chez nous est à jour ?
Vous n’avez pas à le vérifier vous-même. Posez la question par écrit à la personne responsable, interne ou externe, et demandez une réponse datée. Si l’outil est hébergé chez le fournisseur, faites préciser qui, au contrat, applique les correctifs : l’hébergement ne suffit pas à le présumer. S’il est installé sur vos serveurs, demandez qui s’en charge et à quelle fréquence. Conservez la réponse : elle servira de point de départ au prochain suivi.
Sommes-nous trop petits pour qu’un attaquant s’intéresse à nous ?
Non, et ce type de campagne l’illustre bien. L’attaquant ne choisit pas votre entreprise par son chiffre d’affaires, il cherche un outil largement déployé et mal mis à jour. Passer par un fournisseur qui dessert plusieurs clients lui donne de l’effet de levier, quelle que soit la taille de ces clients. La taille protège moins que l’hygiène des accès.
Sources
- The Hacker News · presse, 12 novembre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- CISA, Known Exploited Vulnerabilities Catalog · vulnérabilités dont l’exploitation est confirmée
Source : The Hacker News · https://thehackernews.com/2026/11/sckit-malware-targets-screenconnect.html
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
