Todyl meldde dat gestolen inloggegevens van applicaties toegang gaven tot Microsoft Entra ID, Azure en Microsoft 365 bij 27 organisaties. Dat aantal betreft alleen omgevingen die loggegevens naar Todyl stuurden. Volgens Todyl was er geen Microsoft-kwetsbaarheid bij betrokken. De provider rapporteerde app-aanmeldingen, Azure DevOps-identiteitsgegevens en herhaalde pogingen met sessietokens. Todyls onderzoek beschrijft waarnemingen van 1 tot en met 3 november 2026.
Wat er volgens Todyl gebeurde
Todyl rapporteerde ongeveer 45 doelgerichte app-registraties bij circa 18 organisaties. Meer dan 33 aanmeldingen slaagden. De toegang reikte volgens de provider tot 27 organisaties, waaronder klanten van managed service providers (MSP’s). Todyl meldde daarnaast zoekacties in ongeveer 25 tenants, 81 gedownloade bestanden en toegang tot circa 2.279 mailboxitems.
De aanmeldingen verliepen met geldige, gestolen app-inloggegevens. Todyl zag ook het gebruik van een gefedereerde workload-identiteit van Azure DevOps en het opnieuw gebruiken van Azure DevOps- of verversingstokens. Bij app-only-authenticatie meldt een applicatie zich aan zonder dat een gebruiker interactief inlogt. Todyl had de operator en de oorspronkelijke diefstalroute niet vastgesteld in de update van 4 november.
De tijdlijn van de waarnemingen
Todyl registreerde eerst app-toegang en later zoek- en downloadactiviteiten. Op 3 november zag het bedrijf zowel een succesvolle actie als daaropvolgende geblokkeerde pogingen.
| Datum en tijd (UTC) | Gebeurtenis volgens Todyl |
| 1 november, 08.45 uur | Eerste waargenomen toegang met een gestolen app-inloggegeven. |
| 1 november, 14.39 uur | Gebruik van een gefedereerde Azure DevOps-workload-identiteit. |
| 2 november, 10.39 uur | Eerste waargenomen hergebruik van een Azure DevOps-sessietoken van een gebruiker. |
| 2 november, 17.40 uur | Eerste Microsoft Graph-zoekactie in een tenant van een getroffen organisatie. |
| 2 november, 20.36 uur | Begin van bulkdownloads, met ongeveer één bestand per seconde. |
| 3 november, 07.56 uur | Eén MSP-app doorliep 15 klanttenants. |
| 3 november, 15.16 uur | Laatste succesvolle actie in Todyls update: downloads met app-only-toegang bij één MSP. |
| 3 november, 18.12 en 21.31 uur | Meerdere pogingen om verversingstokens opnieuw te gebruiken werden volgens Todyl door Conditional Access geblokkeerd. De poging om 21.31 uur was de laatste die Todyl in de update meldde. |
Todyl beschreef een terugkerende volgorde van tokens voor Azure Resource Manager en Key Vault, vaak gevolgd door Microsoft Graph, Storage en Cognitive Services. Het bedrijf opperde dat uitlezen van Key Vault nieuwe inloggegevens kan hebben opgeleverd; daarvoor zijn controlelogboeken nodig om die mogelijkheid te bevestigen.
Waarom app-identiteiten aparte beleidsdekking nodig hebben
Beleid voor gebruikersaanmeldingen dekt app-only-aanmeldingen niet automatisch: daarbij is geen persoon aanwezig die zich interactief aanmeldt. Todyl beschreef Conditional Access voor workload-identiteiten als een afzonderlijke beleidslaag met specifieke voorwaarden. Volgens het bedrijf is daarvoor een zelfstandige Workload ID Premium-licentie nodig en moeten beleidsregels rechtstreeks aan service principals worden toegewezen. Groepstoewijzing wordt voor deze identiteiten niet afgedwongen.
Todyls beschrijving beperkt de dekking tot apps met één tenant die in de eigen tenant zijn geregistreerd. Managed identities, apps met meerdere tenants en SaaS-diensten van derden vallen erbuiten. Beheerders kunnen daarom in hun logboeken nagaan welke service principals zich aanmeldden, welke Azure DevOps-tokens werden gebruikt en of Key Vault- of Microsoft Graph-activiteiten op de gemelde volgorde lijken.
Todyl noemde 199.19.77.84 als het bevestigde IP-adres van de operator en adviseerde dat exacte adres te blokkeren, niet een breder hostingnetwerk. Die afbakening is relevant bij het beoordelen van de inlogpogingen en de bijbehorende tenantlogboeken.
