Microsoft Threat Intelligence meldde op 5 november 2026 dat in ten minste één waargenomen geval vijf minuten verstreken tussen het zoeken naar geheimen op GitHub en het exfiltreren van gegevens uit Azure Key Vault. Exfiltratie betekent dat gegevens worden weggesluisd. Microsoft beschreef het incident als misbruik van blootgelegde of gestolen appgegevens, niet als een softwarefout in Key Vault. Microsofts incidentmelding specificeert niet welke gegevens in dit geval zijn meegenomen of welke tussenstappen er precies waren.
Hoe de toegang via appgegevens verliep
Microsoft zei sinds augustus 2026 grote aantallen zoekopdrachten op openbare GitHub-opslagplaatsen te hebben waargenomen, gericht op blootgelegde geheimen. De zoektermen konden organisatienamen combineren met woorden voor geheimen en met termen voor cloud- of AI-diensten. In minstens één geval volgde op zo’n zoektocht binnen vijf minuten data-exfiltratie uit Azure Key Vault.
De beschreven toegang berustte op geldige inloggegevens van toepassingen. Daarmee konden de betrokken apps de cloudbronnen bereiken waarvoor ze rechten hadden. Azure Key Vault beheert geheimen, sleutels en certificaten; toegang vereist authenticatie en autorisatie, zoals Microsofts documentatie over Key Vault uitlegt.
Microsoft beschreef daarnaast afzonderlijke aanmeldingen van serviceprincipals, de identiteiten waarmee toepassingen zich bij Microsoft-diensten aanmelden. Het bedrijf zag zulke succesvolle aanmeldingen vanaf 199.19.77[.]84 al op 28 oktober 2026, bij meerdere toepassings-ID’s van sommige getroffen klanten. In enkele gevallen was een inloggegeven van een multitenant-toepassing van een leverancier bij de bron gecompromitteerd en daarna in andere tenants gebruikt. Dit is een bredere waarneming van serviceprincipalactiviteit, los van de afzonderlijke vijfminutencasus.
Het IP-blokadvies geldt voor een specifieke configuratie
Voor de aanmeldingen vanaf 199.19.77[.]84 adviseerde Microsoft het exacte adres als 199.19.77[.]84/32 te blokkeren in een Conditional Access-beleid voor workloadidentiteiten. Het advies is gericht op dit ene IP-adres, niet op het volledige ASN. De beleidsregel vereist Workload ID Premium en geldt alleen voor single-tenant-apps die in de tenant van de klant zijn geregistreerd.
Microsoft meldde ook aanmeldingen vanaf 199.19.77[.]18, maar omschreef dat adres als een Tor-exitnode die mogelijk bij niet-gerelateerde kwaadaardige activiteit hoort. De gemelde IP-adressen hebben dus niet allemaal dezelfde rol in de beschreven activiteit.
Verwijder bij blootgelegde inloggegevens niet alleen de openbare kopie: trek het geheim in of roteer het, en houd rekening met tokens die al zijn uitgegeven.
Een verwijderd geheim maakt bestaande tokens niet ongeldig
Microsoft zegt dat een blootgelegd geheim bruikbaar blijft totdat het wordt ingetrokken of geroteerd. Alleen de openbare kopie van GitHub verwijderen is daarom niet genoeg om de credential ongeldig te maken; kopieën kunnen ook in geschiedenisbestanden, caches, archieven of logs blijven staan.
Bij een vermoedelijke blootstelling adviseert Microsoft de gecompromitteerde toepassingsgeheimen, certificaten en federatieve inloggegevens te verwijderen en de geheimen te roteren waartoe de betrokken toepassing toegang had. Het noemt ook het intrekken van getroffen Microsoft Entra-sessies, Azure DevOps-PAT’s en SSH-sleutels, en het controleren van de relevante aanmeldings- en auditlogs.
Een al uitgegeven token blijft volgens Microsoft geldig tot de vervaldatum, ook nadat de bijbehorende credential is verwijderd. Die geldigheidsduur is een belangrijk onderdeel van de respons: intrekken of roteren van inloggegevens beëindigt niet vanzelf de geldigheid van tokens die al zijn uitgegeven.
