Le FBI alerte sur ARTEX, un outil d’attaque par IA : que vérifier
Une alerte du FBI du 13 novembre décrit ARTEX, un outil d’IA qui automatise les attaques et a atteint des tenants Microsoft 365 via une application de sauvegarde.
Le 13 novembre 2026, le FBI a publié une alerte FLASH consacrée à ARTEX, un outil piloté par l’intelligence artificielle que des cybercriminels et des groupes soutenus par des États utilisent pour automatiser leurs attaques. L’essentiel du document vise les grandes équipes de sécurité, mais deux points concernent directement les petites entreprises : les attaquants ciblent les systèmes oubliés en périphérie de l’organisation, et ils détournent des applications qui ont reçu un accès à Microsoft 365. Voici un résumé simple et une courte liste de vérifications.
Ce que dit le FBI
Selon l’alerte FLASH du FBI (FLASH-20261113-001), ARTEX est un framework open source qui se branche sur des modèles de langage et transforme un objectif rédigé en langage courant en une suite de commandes d’attaque. Publié en juillet 2026 comme outil de test d’intrusion, il est utilisé à des fins malveillantes depuis au moins août 2026 contre des organisations de la finance, de l’administration, de la santé, de l’industrie, du juridique et d’autres secteurs. Son auteur l’a retiré en octobre, mais des copies et des variantes circulent toujours, et les chercheurs ont recensé plus de 1 600 consoles ARTEX exposées sur internet début novembre.
Le FBI insiste sur trois points. Certaines intrusions sont passées du premier contact à un accès privilégié en moins de trois heures. L’outil excelle à repérer les systèmes secondaires moins surveillés : portails partenaires, anciens services, intégrations tierces. Enfin, il abaisse le niveau de compétence nécessaire, si bien que de petits groupes peuvent viser de nombreuses organisations en même temps.
Le lien avec Microsoft 365
Le FBI cite une compromission de la chaîne d’approvisionnement touchant les clients de ConnectWise Cloud Backup, qui aurait permis, selon ses termes, d’accéder à plus de 2 250 tenants en aval. Le blog sécurité de Microsoft a décrit cette campagne le 21 octobre 2026 et l’attribue à un groupe qu’il nomme Storm-0940. Les attaquants ont pris le contrôle d’identités d’applications cloud appartenant au service de sauvegarde et s’en sont servis pour se connecter aux environnements Microsoft 365 des clients en tant qu’application : aucun mot de passe saisi, aucune demande d’authentification multifacteur pour les arrêter.
C’est là la leçon pour une petite structure. Chaque application tierce autorisée dans Microsoft 365, qu’il s’agisse de sauvegarde, de signatures de mail, d’agenda ou de CRM, détient une clé permanente vers vos données. Si l’éditeur est piraté, cette clé peut être retournée contre vous.
Ce qu’une petite entreprise doit faire
- Demandez si ConnectWise Cloud Backup a déjà été utilisé. Beaucoup d’entreprises l’ont reçu par leur prestataire sans en connaître le nom. Le FBI recommande d’examiner chaque tenant Microsoft 365 où les applications ConnectWise concernées sont ou ont été installées, même si l’intégration ne sert plus, et de laisser ces connexions désactivées jusqu’aux instructions de ConnectWise.
- Passez en revue vos applications d’entreprise. Dans le centre d’administration Microsoft Entra, listez les applications qui accèdent à votre tenant, leurs autorisations et la personne qui les a approuvées. Retirez celles qui ne servent plus, mais notez d’abord leurs détails : le FBI déconseille de les supprimer en premier réflexe, car des preuves peuvent disparaître.
- Empêchez les salariés d’approuver seuls des applications. Réglez Microsoft 365 pour que les nouvelles demandes de consentement soient envoyées à un administrateur.
- Recensez ce que vous exposez sur internet. Bureau à distance, ancien portail salariés, page de connexion d’un NAS, VPN : ce sont les bords que les attaques assistées par IA sondent en premier. Fermez ce qui est inutile et tenez le reste à jour.
- Conservez les journaux. Vérifiez que les journaux de connexion et d’audit sont gardés assez longtemps pour enquêter et que quelqu’un lit réellement les alertes.
Le FBI demande aux organisations qui constatent une activité suspecte de contacter leur bureau local du FBI et de la signaler sur ic3.gov.
Notre aide
Notre équipe cybersécurité peut examiner les applications reliées à votre tenant Microsoft 365 et durcir les règles de consentement, et nos services informatiques gérés incluent la surveillance continue des connexions. Sur un risque voisin, lisez notre article sur les attaques par rejeu de jetons dans Microsoft 365. Appelez le (213) 986-4855.