La Direction générale de la sécurité des systèmes d'information (DGSSI) a émis, le 12 novembre 2026, une alerte de niveau critique concernant une campagne de cyberattaques visant ConnectWise ScreenConnect, un outil de maintenance informatique à distance. L'incident révèle un risque particulier : lorsqu'un prestataire informatique est compromis, les systèmes de plusieurs de ses clients peuvent être exposés simultanément.
288 ordinateurs touchés en 90 minutes
L'alerte publiée par la DGSSI, sous la référence 71001211/26, porte sur une campagne visant les consoles d'administration cloud de ConnectWise ScreenConnect.
Selon les observations de la société de cybersécurité Huntress, les attaquants ont exploité des accès à plusieurs consoles pour envoyer des commandes malveillantes vers au moins 288 ordinateurs appartenant à 48 organisations. L'opération s'est déroulée en seulement 90 minutes, le 11 novembre.
Les consoles d'administration d'au moins six prestataires de services informatiques managés, appelés MSP (Managed Service Providers), ont été compromises.
Ces chiffres concernent la campagne internationale documentée par les chercheurs. Ils ne constituent pas un bilan d'entreprises victimes au Maroc. La DGSSI n'a pas publié de nombre de victimes marocaines dans son bulletin.
Comment un outil de maintenance devient-il un point d'entrée ?
ScreenConnect permet aux équipes informatiques d'accéder à distance aux ordinateurs qu'elles administrent. Cette fonctionnalité facilite les interventions techniques, mais donne également aux comptes autorisés des privilèges importants.
Dans cette campagne, les attaquants ont utilisé la fonction légitime « Run Command » pour exécuter des instructions sur les machines administrées.
Les investigations pointent notamment vers une faiblesse d'authentification affectant les versions 1.0.31 et 1.0.32 d'une extension tierce baptisée RMM+. Lorsque l'administrateur n'avait jamais configuré de clé d'accès, l'extension pouvait accepter une clé vide.
Cette faiblesse pourrait expliquer une partie des intrusions observées. Toutefois, ConnectWise précise que le mécanisme initial d'accès et l'étendue complète de la campagne restent en cours d'investigation.
L'éditeur indique également n'avoir trouvé, à ce stade, aucune preuve d'une compromission de sa propre infrastructure ou d'une vulnérabilité intrinsèque à ScreenConnect.
SCKit : un outil conçu pour maintenir et étendre l'accès
Une fois les premières machines atteintes, les attaquants ont déployé des clients ScreenConnect non autorisés ainsi qu'un ensemble d'outils malveillants appelé SCKit.
Selon Huntress, ce dispositif est conçu pour maintenir un accès distant, modifier certains mécanismes de sécurité et tenter de récupérer les sessions d'administration des techniciens.
Son objectif potentiel est particulièrement préoccupant : lorsqu'un technicien intervient sur une machine infectée, l'outil cherche à atteindre son poste de travail, puis d'autres systèmes accessibles depuis ses sessions.
Les chercheurs précisent néanmoins ne pas avoir observé de réussite de cette méthode de propagation lors des incidents examinés. Il faut donc distinguer les capacités identifiées dans le code malveillant des attaques effectivement constatées.
Pourquoi les entreprises marocaines sont-elles concernées ?
La publication de l'alerte par la DGSSI invite les organisations marocaines utilisant ScreenConnect, directement ou par l'intermédiaire d'un prestataire, à vérifier leurs environnements.
Le risque ne concerne pas uniquement les grandes entreprises. Une PME qui confie la maintenance de ses postes et serveurs à un fournisseur externe peut également dépendre des outils d'administration employés par celui-ci.
Le cas observé montre qu'un accès technique disposant de privilèges élevés peut devenir un point de passage vers plusieurs organisations.
Pour les directions des systèmes d'information, l'enjeu est donc de connaître non seulement les prestataires autorisés à intervenir, mais également les outils, extensions et comptes qu'ils utilisent pour accéder aux infrastructures.
L'absence d'incident visible ne suffit pas, à elle seule, à garantir qu'un environnement n'a pas été compromis.
Quelles mesures recommande la DGSSI ?
La DGSSI demande aux organisations concernées de vérifier et de désactiver immédiatement cinq extensions tierces de la famille RMM+ : Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link et RMM+ Password Link.
ConnectWise indique avoir désactivé préventivement ces extensions dans environ 400 environnements cloud. Ce chiffre désigne des environnements où les modules étaient installés, et non 400 compromissions confirmées.
Les organisations disposant d'installations locales doivent réaliser elles-mêmes cette vérification.
Les autres mesures recommandées concernent la révocation des sessions administratives, le renouvellement des identifiants, la limitation des privilèges et l'analyse des journaux d'activité.
La DGSSI recommande également de ne pas utiliser ScreenConnect pour examiner un ordinateur suspect. Une intervention via un autre outil de sécurité fiable permet d'éviter d'exposer les postes des techniciens.
ConnectWise demande en outre de vérifier que les clients ScreenConnect utilisés par les techniciens disposent au minimum de la version 26.6.5, qui corrige une vulnérabilité pouvant faciliter certaines tentatives de propagation.
Une simple mise à jour ne garantit toutefois pas l'élimination d'une compromission déjà présente. L'investigation et la suppression des accès malveillants restent nécessaires.
Le risque prestataire, un enjeu de cybersécurité à part entière
Cette campagne rappelle que la sécurité d'une organisation ne dépend pas uniquement de ses propres équipements.
Les accès confiés à des prestataires externes constituent une extension de son périmètre de risque. Leur compromission peut affecter plusieurs clients avant même que ceux-ci aient identifié l'origine du problème.
Pour les entreprises marocaines, l'alerte de la DGSSI souligne l'importance de contrôler les accès de télémaintenance, d'en limiter les privilèges et de prévoir des procédures de réaction avec les fournisseurs informatiques.
L'enjeu dépasse la seule correction d'une vulnérabilité : il s'agit de savoir qui peut accéder aux systèmes de l'entreprise, avec quels droits et selon quelles conditions de surveillance.
Sources : DGSSI, bulletin d'alerte n° 71001211/26 du 12 novembre 2026 ; ConnectWise Trust Center, avis de sécurité actualisé le 12 novembre 2026 ; Huntress, analyse technique de la campagne SCKit publiée en novembre 2026.
