Des secrets d'applications Entra volés utilisés contre 27 organisations, souvent via des applications de prestataires

Comment c'est arrivé

L'opérateur se connecte comme des applications avec des secrets valides, et non comme des personnes. Todyl cite des secrets clients d'applications internes, de prestataires et d'intégration, une identité de charge de travail fédérée Azure DevOps, et des jetons de session et d'actualisation rejoués, et indique qu'aucune vulnérabilité Microsoft n'est en cause. Microsoft indique que des acteurs utilisant l'outil agentique ARTEX ont cherché sur GitHub public des secrets d'applications OAuth et des clés d'IA exposés, et que dans au moins un cas l'identifiant d'une application multi-locataire d'un éditeur a donné accès aux locataires de ses clients. Todyl, s'appuyant sur les constats de Microsoft, juge désormais l'activité issue d'un collecteur d'identifiants automatisé et attribue l'origine des identifiants à une collecte sur GitHub public. Ses mises à jour précédentes disaient la source inconnue.[1][3] Vérifié le 8 nov. 2026

Ce qui a été volé

Todyl compte 81 fichiers téléchargés et environ 2 279 éléments de boîtes aux lettres consultés, et précise que ces chiffres sont un plancher car ils ne couvrent que les organisations qui envoient leurs journaux à Todyl. Microsoft signale des vols d'identifiants et de données, notamment depuis Azure Key Vault et Storage, et un usage abusif de services Azure AI. Il n'est pas confirmé que Key Vault ait été lu dans les cas suivis par Todyl.[1][3] Vérifié le 8 nov. 2026

Qui est touché

Todyl signale environ 45 inscriptions d'applications visées dans environ 18 organisations, plus de 33 authentifiées avec succès, et 27 organisations atteintes, dont des clients de prestataires de services managés. Les secteurs cités incluent l'administration, l'énergie, l'agroalimentaire, les transports, la construction et l'ingénierie. Microsoft ne donne pas de nombre total de victimes.[1][2][3] Vérifié le 8 nov. 2026

Acteur

Non attribué. Aucun acteur nommé. Todyl décrit un opérateur unique. Microsoft dit seulement que des acteurs non nommés ont utilisé ARTEX et que les indicateurs réseau associés ne sont pas attribués.

Chronologie

1. 28 oct. 2026Premières connexions de principaux de service depuis l'adresse IP de l'opérateur observées par Microsoft. [3]
2. 1 nov. 2026Premier accès avec un identifiant d'application volé à 8 h 45 UTC, selon Todyl. L'identité de charge de travail fédérée Azure DevOps est utilisée à 14 h 39 UTC. [1]
3. 3 nov. 2026Todyl publie son rapport. Un balayage de 15 locataires clients par une seule application multi-locataire est enregistré le matin, et la dernière tentative à 21 h 31 UTC est bloquée. [1]
4. 4 nov. 2026Cybersecurity Dive rapporte les chiffres de Todyl. [2]
5. 5 nov. 2026Microsoft publie une analyse sur des acteurs qui utilisent des outils d'IA agentique pour trouver et exploiter des secrets exposés, et cite le rapport de Todyl pour la même adresse IP. [3]