La sécurité ne s’arrête pas aux limites des systèmes propres à une organisation. Les entreprises modernes connectent un réseau toujours plus vaste d’applications tierces à leurs plateformes centrales afin de soutenir leurs activités de vente, de service et de collaboration. Chacune de ces connexions apporte une valeur ajoutée. Chacune d’entre elles introduit également une vulnérabilité que l’organisation ne maîtrise pas entièrement.
Ce risque n’est pas hypothétique. En juin 2026, un acteur malveillant a compromis des jetons OAuth liés à Klue, une « plateforme » de veille concurrentielle utilisée pour synchroniser les données commerciales et marketing avec Salesforce. L’attaquant a utilisé ces jetons pour accéder aux environnements Salesforce de nombreuses organisations ayant autorisé cette intégration, dont Commvault.
Dès que nous avons été informés d’un impact potentiel, notre équipe de sécurité a déclenché notre procédure de gestion des incidents afin de déterminer ce qui s’était passé, de limiter l’exposition au risque et d’évaluer si les informations des clients ou les services Commvault avaient été affectés. Notre enquête a révélé que cette activité se limitait à certaines informations relatives aux relations commerciales et aux ventes stockées dans notre environnement Salesforce. L’enquête n’a révélé aucun élément indiquant que les données de sauvegarde des clients, les données sur les produits, les métadonnées sur les produits, les journaux d’exploitation ou les services Commvault aient été affectés.
Agir rapidement lorsque cela s’impose
Notre intervention s’est déroulée conformément aux procédures établies en matière de gestion des incidents de sécurité, conçues pour limiter rapidement les risques tout en permettant la conduite d’une enquête approfondie. Dès que nous avons été informés de l’incident, nous avons désactivé l’intégration Klue, révoqué les droits d’accès associés et collaboré avec les parties concernées afin de mener une évaluation complète des faits. Tout au long de l’enquête, nos équipes se sont employées à déterminer quelles informations avaient été consultées, à vérifier l’intégrité de notre environnement et à s’assurer que l’incident restait confiné à la zone que nous avions déjà maîtrisée.
Une tendance à noter
Cet incident illustre parfaitement une tendance que les équipes de sécurité observent depuis plusieurs années : les pirates ciblent désormais les applications tierces connectées aux systèmes métier clés plutôt que de s’attaquer directement à ces derniers. Une seule intégration compromise peut offrir un accès privilégié aux environnements de nombreuses organisations en aval simultanément, souvent en rencontrant moins de résistance qu’une attaque directe contre l’une d’entre elles.
Cela modifie la nature même des mesures de défense qu’une organisation doit mettre en place. Des contrôles internes rigoureux restent nécessaires, mais ils ne suffisent plus à eux seuls. Ils doivent être associés à une surveillance active de chaque application à laquelle l’organisation se connecte, ainsi qu’à une capacité de réaction qui soit prête avant qu’un incident ne se produise, et non mise en place pendant celui-ci.
Renforcer la résilience au-delà de notre propre environnement
Chez Commvault, notre programme de sécurité comprend une évaluation continue des applications tierces connectées à notre environnement. Nous examinons régulièrement ces applications, évaluons les droits d’accès dont chacune dispose, surveillons l’apparition de nouveaux risques et réévaluons ces intégrations à mesure que les besoins de l’entreprise et le paysage des menaces évoluent. Lorsque les circonstances l’exigent, nous prenons des mesures pour réduire notre exposition et renforcer notre posture de sécurité, notamment en désactivant les intégrations qui ne répondent plus à nos normes.
Notre engagement en faveur de la transparence
La confiance se construit grâce à la transparence et à la responsabilité. Lorsqu’un événement touche nos parties prenantes, nous estimons qu’il est important de communiquer les informations dont nous disposons, d’expliquer comment nous avons réagi et de partager les conclusions de notre enquête, même lorsque cet événement trouve son origine en dehors de nos propres systèmes. Nous continuerons à évaluer nos mesures de sécurité, à affiner nos processus de gestion des incidents et à renforcer notre approche en matière de risques liés aux tiers, dans le cadre de notre engagement global à protéger nos clients et nos partenaires.
Pour obtenir les informations officielles concernant cet incident, notamment la portée de l’enquête et les conseils destinés aux clients, veuillez consulter les mises à jour de notre Centre de confiance. Will Galway est responsable adjoint de la sécurité des systèmes d’information chez Commvault.
