Están abusando de credenciales robadas de aplicaciones de Microsoft Entra ID e identidades de Azure DevOps para acceder a entornos de Azure y Microsoft 365. Según una investigación de Todyl, esta campaña ha afectado al menos a 27 organizaciones, centrándose especialmente en proveedores de servicios gestionados (MSP) y sus clientes desde noviembre de 2026.

Abusando de credenciales robadas de aplicaciones de Microsoft Entra ID e identidades de Azure DevOps para acceder a entornos de Microsoft 365 y Azure, alcanzando al menos a 27 organizaciones.

La última actualización de la investigación de Todyl describe una campaña en curso dirigida a proveedores de servicios gestionados (MSP) y sus clientes desde el 1 de noviembre de 2026.

El operador tuvo como objetivo unos 45 registros de aplicaciones en aproximadamente 18 organizaciones, de las cuales más de 33 se autenticaron con éxito. El acceso derivado amplió el número de víctimas a organizaciones gubernamentales, de energía, agricultura, transporte, construcción, legales, educación y organizaciones sin fines de lucro. Estas cifras cubren solo los entornos que envían registros a Todyl, por lo que el alcance real podría ser mayor.

Los investigadores registraron búsquedas en unos 25 inquilinos (tenants), descargas de 81 archivos y acceso a aproximadamente 2.279 elementos de buzón de correo. El último intento reportado, a las 21:31 UTC del 3 de noviembre, fue bloqueado. No hubo ninguna vulnerabilidad de Microsoft implicada. En su lugar, el atacante utilizó credenciales válidas para actuar como aplicaciones confiables.

Esta distinción es importante porque las identidades de las aplicaciones operan sin que un usuario inicie sesión. Sus permisos existentes pueden permitir el acceso sin un aviso de MFA, mientras que las políticas de Acceso Condicional centradas en el usuario no rigen la autenticación exclusiva de aplicaciones. Anteriormente se analizó cómo las credenciales robadas y los permisos excesivos pueden convertir un acceso limitado en una exposición mucho más amplia.

El atacante también utilizó una identidad de carga de trabajo federada de Azure DevOps y reprodujo tokens de sesión de usuario. Aún se desconoce cómo el atacante robó las credenciales originales. Todyl no encontró evidencia de que una plataforma de proveedor haya sido comprometida, a pesar de que entre las credenciales abusadas se encontraban algunas pertenecientes a integraciones de seguridad confiables.

El ataque se desplaza a través de entornos en la nube

Según la investigación de Todyl, el operador suele solicitar un token de Azure Resource Manager, seguido de tokens para Key Vault, Microsoft Graph y Storage. Esta secuencia ofrece a los investigadores un patrón útil para la búsqueda, particularmente cuando aplicaciones que no se habían utilizado previamente comienzan a autenticarse poco después.

La última actualización describe 29 búsquedas con comodines en Microsoft Graph seguidas de descargas de SharePoint a un ritmo de aproximadamente un archivo por segundo. El material recopilado incluía listas de contraseñas, claves privadas, perfiles de VPN, credenciales de respaldo y configuraciones de acceso remoto. Tales archivos podrían permitir ataques adicionales más allá de Microsoft 365, donde los registros en la nube de Todyl proporcionan una visibilidad limitada.

Las relaciones con los MSP aumentaron el daño. Una aplicación multi-inquilino alcanzó a 15 inquilinos de clientes en bucles repetidos de unos 10 segundos. El riesgo general se asemeja a informes anteriores sobre cuentas comprometidas que acceden a Azure DevOps y recursos en la nube, aunque aquel caso implicaba una intrusión diferente.

Los clientes programados (scripts) representaron el 95% de los inicios de sesión observados, con ráfagas que alcanzaron los 24 intentos en 10 segundos. Sin embargo, las pausas prolongadas y el cambio de firmas del navegador sugieren un control humano.

Todyl describe automatización, no malware de autopropagación confirmado. La participación de IA sigue siendo una posibilidad de baja confianza, y el operador no ha sido identificado.

Como defensor, debes revisar los inicios de sesión de los principios de servicio y los registros de usuarios no interactivos para 199.19.77.84, la dirección de origen confirmada. Los intentos fallidos son tan importantes como los exitosos. Todyl recomienda bloquear la dirección exacta en lugar de toda su red de alojamiento, donde existe actividad no relacionada.

Tu respuesta debe incluir la desactivación de las aplicaciones afectadas donde sea necesario, la eliminación de credenciales comprometidas, la revocación de sesiones de usuario y la rotación de secretos en los almacenes y documentos accesibles.

El Acceso Condicional específico para cargas de trabajo tiene límites de licencia y cobertura, por lo que las políticas de usuario por sí solas son insuficientes. Los MSP también deben revisar el acceso delegado de los clientes, preservar los registros de auditoría y notificar a los clientes afectados.