Microsoft ha riferito che, in almeno un caso osservato, un agente è passato dalla ricerca di segreti esposti su GitHub all’esfiltrazione di dati da Azure Key Vault in cinque minuti. L’azienda ha descritto l’episodio il 5 novembre 2026 e ha ricondotto l’attività all’uso di credenziali applicative esposte o sottratte, non a un difetto del servizio. Microsoft Threat Intelligence ha riferito di aver osservato ricerche di segreti su GitHub già da agosto 2026.
Il caso riguarda credenziali e permessi
Nel caso dei cinque minuti, l’intervallo va dalla scansione di GitHub per trovare segreti all’esfiltrazione da Azure Key Vault. Microsoft non lo presenta come la durata tipica di un attacco: si tratta di almeno un caso osservato.
Il meccanismo descritto è l’abuso di credenziali valide di applicazioni. Queste permettevano di accedere alle risorse cloud in base alle autorizzazioni assegnate. Azure Key Vault gestisce segreti, chiavi e certificati e richiede autenticazione e autorizzazione per l’accesso, come spiega la documentazione ufficiale di Microsoft.
Microsoft ha riferito anche di accessi riusciti di entità servizio, cioè identità usate dalle applicazioni per autenticarsi, già il 28 ottobre 2026 o prima, con l’indirizzo 199.19.77[.]84 e più ID applicazione presso alcuni clienti. Questa osservazione riguarda l’attività più ampia descritta dall’azienda, distinta dal singolo caso di esfiltrazione in cinque minuti.
Il blocco consigliato si applica a un IP preciso
Per l’indirizzo 199.19.77[.]84, Microsoft raccomanda di bloccare l’IP esatto, 199.19.77[.]84/32, con una policy di Conditional Access per le identità dei carichi di lavoro. L’azienda sconsiglia di estendere il blocco all’intero ASN. La policy richiede Workload ID Premium e si applica alle sole applicazioni a tenant singolo registrate nel tenant del cliente.
Microsoft ha osservato anche accessi da 199.19.77[.]18, ma lo identifica come un nodo di uscita Tor che potrebbe essere collegato ad attività malevola non correlata. I due indirizzi, quindi, non vanno trattati come un unico indicatore con lo stesso grado di associazione.
Se una credenziale è stata esposta, rimuoverla dal repository pubblico non basta: va revocata o ruotata, e occorre considerare anche i token già emessi.
La risposta comprende token, sessioni e credenziali
Microsoft raccomanda di eliminare i segreti, i certificati e le credenziali federate compromessi delle applicazioni coinvolte; revocare le sessioni interessate di Microsoft Entra, i token PAT di Azure DevOps e le chiavi SSH; e ruotare le credenziali raggiungibili dall’applicazione, comprese quelle conservate in archivi o documenti accessibili.
La rimozione di una credenziale non fa scadere automaticamente i token già emessi: secondo Microsoft, restano validi fino alla loro scadenza. Per questo la risposta comprende anche la revisione dei registri di accesso e di audit di Entra, Azure, Key Vault, Storage, Azure DevOps e Microsoft 365. Per ridurre il rischio di nuove esposizioni, Microsoft indica inoltre la scansione dei segreti, l’uso di identità gestite dove supportato e il principio del privilegio minimo per le identità dei carichi di lavoro.
