Todyl informó de accesos con credenciales de aplicaciones a entornos de Microsoft Entra ID, Azure y Microsoft 365 en 27 organizaciones. Su telemetría registró actividad entre el 1 y el 3 de noviembre de 2026 en entornos que le enviaban registros; la cifra no representa el alcance total. Todyl describió el uso de credenciales robadas, una identidad federada de Azure DevOps y la repetición de tokens de sesión de usuario en su investigación del incidente. Según la empresa, no se explotó una vulnerabilidad de Microsoft.
Accesos y actividad observados
Todyl situó el primer acceso con una credencial de aplicación el 1 de noviembre. La secuencia pasó por el uso de una identidad federada de Azure DevOps, la repetición de un token de sesión, búsquedas en Microsoft Graph y descargas. El 3 de noviembre, la empresa registró una barrida de 15 tenants de clientes de un MSP.
| Fecha y hora (UTC) | Actividad que Todyl registró |
| 1 de noviembre, 08:45 | Primer acceso observado con una credencial de aplicación robada. |
| 1 de noviembre, 14:39 | Uso de una identidad federada de carga de trabajo de Azure DevOps. |
| 2 de noviembre, 10:39 | Primera repetición observada de un token de sesión de usuario de Azure DevOps. |
| 2 de noviembre, 17:40 | Primera búsqueda de Microsoft Graph en un tenant afectado. |
| 2 de noviembre, 20:36 | Comienzo de las descargas masivas, a cerca de un archivo por segundo. |
| 3 de noviembre, 07:56 | Una aplicación de un MSP recorrió 15 tenants de clientes. |
| 3 de noviembre, 15:16 | Última acción exitosa del periodo descrito: descargas app-only en un MSP. |
| 3 de noviembre, 18:12 | Todyl registró varios intentos de repetición de tokens de actualización bloqueados por Conditional Access. |
| 3 de noviembre, 21:31 | Último intento descrito, también bloqueado. |
Todyl informó de unos 45 registros de aplicaciones atacados en aproximadamente 18 organizaciones, con más de 33 autenticaciones exitosas. También registró 81 archivos descargados y acceso a unos 2.279 elementos de correo. El 95 % de los inicios de sesión observados usó clientes programáticos; hubo ráfagas de hasta 24 accesos en 10 segundos y ciclos de reintento de unos 11 segundos.
Por qué el acceso de aplicaciones requiere controles propios
La autenticación app-only permite que una aplicación acceda a servicios en la nube con su propia identidad, sin que una persona inicie sesión. Por eso, las políticas de autenticación multifactor y Conditional Access centradas en usuarios no cubren automáticamente estos accesos. En los entornos que vigiló, Todyl no observó persistencia mediante nuevos consentimientos, credenciales, roles o usuarios.
Todyl indicó que las políticas de Conditional Access para identidades de carga de trabajo requieren la licencia independiente Workload ID Premium y deben asignarse directamente a las entidades de servicio; la asignación mediante grupos no se aplica a estas. La cobertura descrita se limita a aplicaciones de un solo tenant registradas en el tenant del cliente: no incluye identidades administradas, aplicaciones multitenant ni SaaS de terceros.
Qué revisar en la respuesta
Todyl señaló que hacen falta registros de auditoría para confirmar si las lecturas de Key Vault proporcionaron credenciales nuevas. También identificó 199.19.77.84 como la dirección confirmada del operador y recomendó bloquear esa IP concreta, no un rango de alojamiento más amplio.
