Todyl a rapporté qu’un opérateur non identifié avait utilisé des identifiants d’application volés pour accéder à des environnements Microsoft Entra ID, Azure et Microsoft 365. Ses relevés font état d’accès dans 27 organisations parmi celles qui lui transmettaient leurs journaux, entre le 1er et le 3 novembre 2026. Ce chiffre décrit les environnements surveillés par Todyl, pas l’ensemble de la campagne. L’enquête de Todyl précise aussi que l’activité ne reposait pas sur une vulnérabilité Microsoft.
Todyl a relevé environ 45 inscriptions d’applications ciblées dans quelque 18 organisations, avec plus de 33 authentifications réussies. Son bilan mentionne aussi environ 25 locataires examinés, 81 fichiers téléchargés et quelque 2 279 éléments de messagerie consultés. Les identifiants d’application permettent à un logiciel de se connecter sans qu’une personne ouvre une session : ces accès app-only ne relèvent donc pas automatiquement des règles d’authentification multifacteur et de Conditional Access destinées aux utilisateurs.
La chronologie des accès observés
Les horaires ci-dessous sont en UTC et reprennent les observations de Todyl. Le dernier acte réussi signalé a précédé plusieurs tentatives de rejeu de jetons que l’entreprise dit avoir été bloquées.
| Date et heure (UTC) | Événement rapporté par Todyl |
| 1er novembre, 08 h 45 | Premier accès observé avec un identifiant d’application volé. |
| 1er novembre, 14 h 39 | Utilisation observée d’une identité de charge de travail fédérée Azure DevOps. |
| 2 novembre, 10 h 39 | Premier rejeu observé d’un jeton de session Azure DevOps d’un utilisateur. |
| 2 novembre, 17 h 40 | Première recherche Microsoft Graph observée dans un locataire visé. |
| 2 novembre, 20 h 36 | Début des téléchargements groupés, à environ un fichier par seconde. |
| 3 novembre, 07 h 56 | Une application d’un MSP balaie 15 locataires de clients, par boucles d’environ 10 secondes. |
| 3 novembre, 15 h 16 | Dernière action réussie rapportée : des téléchargements app-only chez un MSP. |
| 3 novembre, 18 h 12 | Todyl signale que Conditional Access a bloqué plusieurs tentatives de rejeu de jetons d’actualisation. |
| 3 novembre, 21 h 31 | Dernière tentative rapportée, également bloquée. |
Todyl a décrit une chaîne d’accès passant par Azure Resource Manager, puis Key Vault, et souvent Microsoft Graph, Storage et Cognitive Services. L’entreprise estime que des lectures dans Key Vault ont pu fournir de nouveaux identifiants ; elle indique que les journaux d’audit sont nécessaires pour le confirmer. Elle a aussi rapporté que 95 % des connexions observées provenaient de clients automatisés.
Les règles visant les utilisateurs ne couvrent pas toutes les applications
Une identité d’application, appelée aussi principal de service, peut s’authentifier sans connexion humaine. Une règle conçue pour les comptes utilisateurs ne protège donc pas automatiquement ces accès. Dans ses recommandations, Todyl indique que les règles Conditional Access pour les identités de charge de travail nécessitent la licence autonome Workload ID Premium et doivent être attribuées directement aux principaux de service.
Selon Todyl, cette couverture concerne les applications à locataire unique enregistrées dans le locataire concerné. Elle exclut les identités managées, les applications multitenants et les logiciels SaaS tiers. Pour une équipe de sécurité, vérifier la portée réelle de la règle et les principaux de service concernés est donc essentiel avant de compter sur elle pour encadrer des connexions app-only.
Todyl a identifié 199.19.77.84 comme l’adresse IP confirmée de l’opérateur et a déconseillé de bloquer une plage d’hébergement plus large. L’entreprise rapporte aussi n’avoir observé, pendant sa période de suivi, ni nouveaux consentements, ni nouveaux identifiants, rôles ou utilisateurs indiquant une persistance.
