ScreenConnect : la DGSSI alerte sur une campagne qui frappe les prestataires informatiques

Impact pour le Maroc

Court terme (0 à 3 mois) : L'enjeu immédiat est l'inventaire des instances ScreenConnect dans les versions 26.6.6.9747 et 26.7.6.9783 et des extensions RMM+ déployées au Maroc, ainsi que la détection de la tâche « TrapWatch » et des exclusions Defender. La DGSSI et le CERT national sont en première ligne ; les MSP marocains et leurs clients les plus exposés (banques ayant externalisé leur administration informatique, opérateurs télécoms, grands groupes industriels, administrations) doivent être vérifiés en priorité. Un incident avéré dans une banque ou un opérateur pourrait déclencher une cascade de déclarations réglementaires. Moyen terme (3 à 12 mois) : Il est probable que Bank Al-Maghrib et l'ANRT renforcent leurs exigences sur la gestion des prestataires et des accès tiers, et que les marchés publics intègrent des clauses de sécurité plus strictes pour les contrats de maintenance. Les prestataires capables de démontrer une bonne hygiène de sécurité (authentification forte, clés d'accès obligatoires, journalisation des commandes à distance) gagneront des parts de marché face à ceux qui n'auront pas corrigé. Long terme (12 à 36 mois) : La dépendance des entreprises marocaines à des outils de gestion à distance d'éditeurs étrangers, dont la surface d'attaque est partagée à l'échelle mondiale, pourrait pousser vers des solutions de supervision hébergées localement et des offres de services managés souveraines. Cette recomposition dépendra de la capacité des acteurs nationaux à offrir une alternative crédible en matière de coûts et de certifications. Parties prenantes marocaines : DGSSI (avis, CERT national, coordination de la réponse), Administration de la défense nationale (tutelle de la DGSSI), ministère de la Transition numérique (pilotage politique et réglementaire), ANRT (opérateurs télécoms et leurs prestataires), Bank Al-Maghrib (établissements bancaires et leurs fournisseurs informatiques), AMMC (sociétés cotées exposées au risque opérationnel), CGEM (relais auprès des PME clientes de MSP), Maroc Telecom, Inwi et Orange Maroc (opérateurs et donneurs d'ordre de services managés), OCP et grands groupes industriels (dépendance à des prestataires externes à vérifier), AMDIE (attractivité d'une offre de services numériques sécurisée). Contre-thèse : l'absence de victime marocaine identifiée, l'action rapide de l'éditeur qui a désactivé les extensions dans les environnements qu'il contrôle, et l'hypothèse d'une campagne à cibles essentiellement étrangères réduiraient l'impact à un épisode de précaution sans conséquence durable.

Pourquoi ce score

Score de 70, en deçà du 73 retenu par la grille : la proximité maximale (30/30) reflète la mention explicite du Maroc et la publication de l'avis par la DGSSI, mais la criticité (6/25) rappelle qu'il s'agit d'une communication officielle, sans décision juridique, financière ou militaire. Je retiens la zone haute de « lien clair » plutôt que « lien fort » car l'article n'identifie aucune organisation marocaine touchée : le lien repose sur l'alerte nationale et sur une exposition probable, non sur une compromission établie. L'ampleur justifie néanmoins un score élevé : au moins six prestataires compromis et 288 ordinateurs touchés dans 48 organisations en 90 minutes, selon les constats de l'éditeur ConnectWise, relayés par la DGSSI. Ces chiffres ne reposent que sur une source (Morocco World News, qui cite l'avis de la DGSSI et les constats de l'éditeur), et l'article est tronqué sur les causes, l'enquête de l'éditeur étant en cours : la prudence s'impose sur les détails. L'urgence maximale (15/15) tient à des effets déjà constatés selon l'article : prise de contrôle de systèmes administratifs et commandes malveillantes déployées. La faille d'authentification de l'extension RMM+ (versions 1.0.31 et 1.0.32, clé d'accès vide acceptée) n'est qu'une piste évoquée par des chercheurs, non une cause confirmée. Un sceptique objecterait que la mention de la DGSSI transforme un avis de précaution en événement national, alors qu'aucune victime marocaine n'est rapportée ; le risque d'une lecture alarmiste serait de surestimer une exposition que les articles ne démontrent pas encore, tout en sous-estimant la difficulté de cartographier depuis Rabat des clients de prestataires invisibles.

Recommandation

Niveau : prioritaire. Pour qui : DGSSI (CERT national, coordination de la réponse), Administration de la défense nationale, ministère de la Transition numérique, ANRT, Bank Al-Maghrib (direction de la supervision des établissements), CGEM (commission numérique, relais PME), RSSI de Maroc Telecom, Attijariwafa bank, BCP, OCP et les grands comptes qui externalisent leur administration informatique. Action concrète : 1) demander à la DGSSI un inventaire des instances ScreenConnect et des extensions RMM+ exposées au Maroc, avec un point de contact par MSP ; 2) recommander aux prestataires de désactiver les extensions RMM+ citées, de vérifier la version de ScreenConnect, de réinitialiser les identifiants et les sessions administrateur, et de rechercher la tâche planifiée « TrapWatch », les exclusions Defender et les clients non légitimes ; 3) demander aux donneurs d'ordre de contrôler les accès tiers et les journaux récents ; 4) produire une note de synthèse à l'intention du cabinet, distinguant ce qui est confirmé au Maroc de ce qui relève de l'exposition ; 5) éviter toute communication publique affirmant une compromission nationale tant que l'inventaire n'est pas consolidé, pour ne pas alimenter une panique inutile ni fragiliser la crédibilité de l'avis. Délai : immédiat (J+0 à J+7 pour l'inventaire et les mesures de confinement ; note de synthèse sous 1 semaine). Signaux à surveiller : publication par ConnectWise de l'analyse complète, correctif ou désactivation définitive des extensions RMM+, premier cas marocain confirmé dans un communiqué officiel, détection de la tâche « TrapWatch » dans des parcs nationaux, réaction d'autres CERT régionaux.

Sources (2)