Nell’aggiornamento del 4 novembre, Todyl ha riferito che l’abuso di credenziali di applicazioni aveva raggiunto 27 organizzazioni, comprese aziende clienti di MSP, i fornitori di servizi IT gestiti. Il dato riguarda gli ambienti che inviavano i log a Todyl. L’indagine descrive accessi tra il 1° e il 3 novembre 2026 a Microsoft Entra ID, Azure e Microsoft 365; secondo Todyl, non è stata sfruttata una vulnerabilità Microsoft (indagine di Todyl).
La portata degli accessi riferiti
Todyl ha contato circa 45 registrazioni di applicazioni bersagliate in circa 18 organizzazioni e oltre 33 autenticazioni riuscite. Ha inoltre riferito ricerche in circa 25 tenant, il download di 81 file e l’accesso a circa 2.279 elementi di posta. Sono conteggi della telemetria raccolta da Todyl, non una misura dell’intera portata dell’attacco.
L’accesso ha coinvolto credenziali di applicazioni, un’identità federata di Azure DevOps e la ripetizione di token di sessione utente. Il metodo con cui furono sottratte le credenziali iniziali e l’identità dell’operatore non erano stati stabiliti nell’aggiornamento. Todyl ha descritto l’attività come condotta con strumenti automatizzati da un singolo operatore.
La sequenza osservata da Todyl
Gli orari riportati sono in UTC. La cronologia distingue l’ultima azione riuscita dai tentativi successivi che Todyl ha detto di aver bloccato.
| Data e ora (UTC) | Evento riferito da Todyl |
| 1° novembre, 08:45 | Primo accesso osservato con una credenziale di applicazione sottratta. |
| 1° novembre, 14:39 | Uso di un’identità federata di Azure DevOps dall’indirizzo attribuito all’operatore. |
| 2 novembre, 10:39 | Primo replay osservato di un token di sessione Azure DevOps di un utente. |
| 2 novembre, 17:40 | Prima ricerca di Microsoft Graph in un tenant coinvolto. |
| 2 novembre, 20:36 | Inizio dei download in blocco, a circa un file al secondo. |
| 3 novembre, 07:56 | Un’applicazione multi-tenant di un MSP ha raggiunto 15 tenant clienti in cicli di circa 10 secondi. |
| 3 novembre, 15:16 | Ultima azione riuscita riportata: download tramite app presso un MSP. |
| 3 novembre, 18:12 | Tentativi di replay di token di aggiornamento di più utenti bloccati da Conditional Access. |
| 3 novembre, 21:31 | Ultimo tentativo riportato, anch’esso bloccato. |
Todyl ha riferito che il 95% degli accessi osservati era generato da client automatizzati, con picchi fino a 24 accessi in 10 secondi. La velocità dei cicli e il passaggio tra tenant aiutano a capire perché la distinzione tra identità applicative e accessi degli utenti sia rilevante.
Perché le identità applicative richiedono controlli specifici
Un’applicazione può autenticarsi con la propria identità, senza che una persona effettui l’accesso. Perciò le policy di autenticazione a più fattori e Conditional Access pensate per gli utenti non coprono automaticamente gli accessi app-only. Todyl ha descritto una sequenza di token che partiva da Azure Resource Manager e passava da Key Vault; seguivano spesso Microsoft Graph, Storage e Cognitive Services. Le letture di Key Vault potrebbero aver fornito nuove credenziali, ma per accertarlo servono i log di audit.
Secondo le indicazioni di Todyl, Conditional Access per le identità workload richiede la licenza standalone Workload ID Premium e l’assegnazione diretta delle policy ai service principal: l’assegnazione tramite gruppo non viene applicata a questi ultimi. La copertura indicata riguarda le app single-tenant registrate nel tenant; esclude le identità gestite, le app multi-tenant e i servizi SaaS di terze parti.
Per l’indirizzo di rete, Todyl ha indicato come confermato 199.19.77.84 e ha sconsigliato di bloccare un intervallo di hosting più ampio. Le letture di Key Vault e gli accessi delle identità applicative restano quindi controlli distinti da verificare nei log pertinenti.
