Microsoft Threat Intelligence informó el 5 de noviembre de 2026 de que, en al menos un caso observado, un agente pasó de buscar secretos expuestos en GitHub a exfiltrar datos de Azure Key Vault en cinco minutos, según el informe de Microsoft.

Qué ocurrió en el caso de cinco minutos

Microsoft situó el inicio de las búsquedas de alto volumen de secretos en GitHub en agosto de 2026. Las consultas podían combinar nombres de organizaciones con términos relacionados con credenciales y servicios en la nube o de inteligencia artificial. ARTEX aparece en el informe como ejemplo de herramienta ofensiva capaz de buscar repositorios, analizar resultados y emprender acciones posteriores con menos intervención manual.

El acceso descrito se basó en credenciales de aplicaciones expuestas o robadas y en los permisos asociados a esas identidades. En el conjunto de actividad relacionada, Microsoft también observó aplicaciones comprometidas que accedían a SharePoint y OneDrive, con descargas de archivos y elementos de buzón.

Microsoft describió además tres secuencias distintas de solicitudes a API corregidas tras fallos iniciales: las peticiones de metadatos de Key Vault tuvieron éxito unos 28 segundos después; las de reglas de firewall de Azure SQL, unos 60 segundos después; y una consulta de Application Insights, unos 80 segundos después.

El bloqueo recomendado se limita a una IP y a ciertos entornos

En una observación distinta, Microsoft situó inicios de sesión correctos de entidades de servicio desde 199.19.77[.]84 como mínimo desde el 28 de octubre de 2026. Afectaban a varios identificadores de aplicación en algunos clientes. En ciertos casos, se habría comprometido en origen una credencial de una aplicación multitenant de un proveedor y se habría usado después en otros inquilinos.

Para esa dirección, Microsoft recomienda bloquear 199.19.77[.]84/32, no todo el ASN, mediante una política de Conditional Access para identidades de carga de trabajo. La política requiere Workload ID Premium y solo se aplica a aplicaciones de inquilino único registradas en el inquilino del cliente.

Microsoft también observó inicios de sesión desde 199.19.77[.]18 y la identificó como un nodo de salida de Tor que podría estar relacionado con actividad maliciosa no vinculada. Por eso, esa dirección no debe confundirse con el indicador concreto al que se refiere la recomendación de bloqueo.

Retirar una credencial no invalida los tokens ya emitidos

Microsoft recomienda revocar las sesiones afectadas de Entra, los tokens de acceso personal (PAT) de Azure DevOps y las claves SSH. También aconseja eliminar de las aplicaciones comprometidas los secretos, certificados y credenciales federadas, y rotar las credenciales a las que esas aplicaciones pudieran acceder en almacenes o documentos. Borrar del repositorio público el texto de un secreto no invalida la credencial: sigue siendo utilizable hasta que se revoque o se rote.

Si se expone una credencial, retírala del repositorio y rótala o revócala; después revisa las sesiones afectadas.

Los tokens que ya se habían emitido a una aplicación siguen siendo válidos hasta su caducidad. Para reducir exposiciones futuras, Microsoft recomienda usar identidades administradas cuando sea posible, limitar los permisos de las identidades de carga de trabajo y vigilar su actividad.