Todyl berichtete in seinem am 4. November aktualisierten Bericht, dass gestohlene Anwendungszugangsdaten Zugriffe auf 27 Organisationen ermöglichten. Die Zahl umfasst Umgebungen, die Protokolle an Todyl übermittelten. Todyl ordnete die Aktivität Microsoft Entra ID, Azure und Microsoft 365 zu und erklärte, dass keine Microsoft-Sicherheitslücke ausgenutzt worden sei. Todyls Bericht beschreibt Beobachtungen vom 1. bis 3. November 2026.
Todyl zählte rund 45 angegriffene App-Registrierungen in etwa 18 Organisationen; mehr als 33 davon authentifizierten sich erfolgreich. Der Bericht nennt außerdem 81 heruntergeladene Dateien und etwa 2.279 aufgerufene Postfachelemente. Wer die Zugangsdaten gestohlen hatte und auf welchem Weg, hatte Todyl bis zum Update nicht ermittelt.
So entwickelte sich die Aktivität
Die Zeitangaben von Todyl zeigen mehrere Phasen: auf die erste Anmeldung mit einer App-Zugangsinformation folgten die Nutzung einer Azure-DevOps-Identität, eine wiederholte Sitzungstoken-Verwendung, Suchaktivitäten und Dateidownloads. Die letzte erfolgreiche Aktion lag vor den späteren, von Todyl als blockiert gemeldeten Versuchen.
| Datum und Uhrzeit (UTC) | Von Todyl beobachtetes Ereignis |
| 1. November 2026, 08:45 | Erster beobachteter Zugriff mit einer gestohlenen App-Zugangsinformation. |
| 1. November 2026, 14:39 | Nutzung einer föderierten Workload-Identität von Azure DevOps. |
| 2. November 2026, 10:39 | Erste beobachtete Wiederverwendung eines Azure-DevOps-Sitzungstokens eines Nutzers. |
| 2. November 2026, 17:40 | Erste Microsoft-Graph-Suche in einem betroffenen Mandanten. |
| 2. November 2026, 20:36 | Beginn umfangreicher Dateidownloads, laut Todyl mit ungefähr einer Datei pro Sekunde. |
| 3. November 2026, 07:56 | Eine MSP-Anwendung durchsuchte 15 Kundenmandanten in wiederholten Schleifen. |
| 3. November 2026, 15:16 | Letzte erfolgreiche Aktion im Update: App-only-Downloads bei einem MSP. |
| 3. November 2026, 18:12 | Todyl meldete blockierte Wiederholungsversuche mit Refresh-Tokens mehrerer Nutzer. |
| 3. November 2026, 21:31 | Auch der jüngste von Todyl gemeldete Versuch wurde blockiert. |
Warum App-only-Zugriffe eigene Kontrollen brauchen
Bei einer App-only-Authentifizierung meldet sich eine Anwendung mit ihrer eigenen Identität an; ein Mitarbeiter muss dabei nicht interaktiv einloggen. Nutzerbezogene MFA- und Conditional-Access-Regeln decken solche Anmeldungen deshalb nicht automatisch ab. Todyl beschrieb eine häufige Folge von angeforderten Zugriffstokens: zuerst für Azure Resource Manager, dann für Key Vault und oft anschließend für Microsoft Graph, Storage und Cognitive Services. Dass aus Key-Vault-Lesezugriffen neue Zugangsdaten hervorgingen, hielt Todyl für möglich; dafür seien Auditprotokolle nötig.
Für Conditional Access bei Workload-Identitäten nannte Todyl konkrete Grenzen: Erforderlich sei eine eigenständige Workload ID Premium-Lizenz. Die Richtlinie müsse direkt den Service Principals zugewiesen werden; eine Gruppenzuweisung werde für sie nicht durchgesetzt. Abgedeckt würden nur Single-Tenant-Apps, die im eigenen Mandanten registriert sind. Verwaltete Identitäten, mandantenübergreifende Apps und SaaS-Angebote von Drittanbietern seien ausgenommen.
Welche Prüfungen Todyl Administratoren empfiehlt
Todyl riet dazu, Anmeldungen von Service Principals und nicht interaktive Nutzeranmeldungen einschließlich fehlgeschlagener Versuche zu prüfen. Bei der Untersuchung der genannten Aktivität identifizierte Todyl 199.19.77.84 als bestätigte Operator-IP-Adresse und empfahl, keine größere Hosting-Range pauschal zu blockieren. Administratoren sollten außerdem betroffene App-Zugangsdaten und Sitzungen, erreichbare Geheimnisse sowie MSP-Zugriffe auf Kundenmandanten prüfen und relevante Auditprotokolle auswerten.
