A Todyl relatou que credenciais roubadas de aplicativos, uma identidade federada de workload do Azure DevOps e tokens de sessão repetidos foram usados para acessar ambientes de Microsoft Entra ID, Azure e Microsoft 365. A atividade chegou a 27 organizações, incluindo clientes de provedores de serviços gerenciados (MSPs), entre os ambientes que enviavam registros à empresa. A investigação da Todyl descreve observações feitas de 1º a 3 de novembro de 2026.
Segundo a Todyl, cerca de 45 registros de aplicativo foram alvo em aproximadamente 18 organizações, e mais de 33 autenticações tiveram sucesso. A empresa também relatou buscas em cerca de 25 locatários, o download de 81 arquivos e acesso a aproximadamente 2.279 itens de caixas de correio. Esses números se referem aos ambientes que encaminhavam registros à Todyl. A empresa disse que não houve exploração de uma vulnerabilidade da Microsoft.
A sequência de acessos observada
Os horários abaixo são UTC. A cronologia separa a última ação bem-sucedida relatada das tentativas posteriores que, segundo a Todyl, foram bloqueadas.
| Data e hora (UTC) | Evento relatado pela Todyl |
| 1º de novembro, 08h45 | Primeiro acesso observado com uma credencial roubada de aplicativo. |
| 1º de novembro, 14h39 | Uso de uma identidade federada de workload do Azure DevOps. |
| 2 de novembro, 10h39 | Primeiro replay observado de um token de sessão de usuário do Azure DevOps. |
| 2 de novembro, 17h40 | Primeira busca no Microsoft Graph em um locatário afetado. |
| 2 de novembro, 20h36 | Início dos downloads em massa, a cerca de um arquivo por segundo. |
| 3 de novembro, 07h56 | Um aplicativo de MSP percorreu 15 locatários de clientes. |
| 3 de novembro, 15h16 | Última ação bem-sucedida relatada: downloads somente com autenticação de aplicativo em um MSP. |
| 3 de novembro, 18h12 | Tentativas de replay de tokens de atualização de vários usuários foram bloqueadas pelo Conditional Access. |
| 3 de novembro, 21h31 | Tentativa mais recente descrita na atualização da Todyl, também bloqueada. |
A empresa relatou que 95% das autenticações observadas usaram clientes automatizados. Em um caso, um único aplicativo de MSP percorreu 15 locatários de clientes em ciclos de cerca de 10 segundos. A Todyl descreveu a atividade como conduzida por um operador com ferramentas automatizadas.
Por que o acesso de aplicativos exige controles próprios
Uma autenticação app-only ocorre quando um aplicativo se conecta usando a própria identidade, sem uma pessoa fazer login. Por isso, políticas voltadas a usuários, incluindo MFA, não cobrem automaticamente esse tipo de acesso. A Todyl também relatou uso de uma identidade federada do Azure DevOps e repetição de tokens de sessão de usuários.
A orientação da Todyl sobre Conditional Access para identidades de workload tem limites específicos: exige a licença independente Workload ID Premium e atribuição direta às entidades de serviço (service principals). Segundo a empresa, a cobertura se aplica a aplicativos de locatário único registrados no próprio locatário; não inclui identidades gerenciadas, aplicativos multilocatário nem SaaS de terceiros.
A Todyl descreveu uma sequência de acesso que começava com Azure Resource Manager e Key Vault, seguida muitas vezes por Microsoft Graph, armazenamento e Cognitive Services. Leituras do Key Vault poderiam ter fornecido novas credenciais, mas a empresa disse que seriam necessários registros de auditoria para confirmar essa hipótese. O operador não foi identificado, e a origem das credenciais iniciais não foi estabelecida.
O que revisar nos ambientes afetados
Para equipes de segurança, a cronologia torna importante examinar separadamente os registros de autenticação de aplicativos e os de usuários, além de procurar acessos a Key Vault, Microsoft Graph e SharePoint. A Todyl identificou 199.19.77.84 como o endereço confirmado da atividade e recomendou bloquear esse IP específico, sem ampliar o bloqueio para toda a faixa de hospedagem.
