Los hackers utilizan credenciales robadas de Microsoft Entra ID y Azure DevOps para acceder a 27 organizaciones.

Los hackers están abusando de las credenciales robadas de la aplicación Microsoft Entra ID y de las identidades de Azure DevOps para acceder a entornos de Microsoft 365 y Azure, afectando al menos a 27 organizaciones.

La última actualización de la investigación de Todyl describe una campaña en curso dirigida a proveedores de servicios gestionados (MSP) y sus clientes desde el 1 de noviembre de 2026.

El atacante se dirigió a unos 45 registros de aplicaciones en aproximadamente 18 organizaciones, de las cuales más de 33 se autenticaron correctamente. El acceso posterior amplió el número de víctimas a organizaciones gubernamentales, energéticas, agrícolas, de transporte, de la construcción, legales, educativas y sin ánimo de lucro. Estas cifras solo cubren los entornos que envían registros a Todyl, por lo que el alcance real podría ser mayor.

Los investigadores registraron búsquedas en unos 25 inquilinos, descargas de 81 archivos y acceso a aproximadamente 2279 elementos de buzón. El último intento reportado, a las 21:31 UTC del 3 de noviembre, fue bloqueado. No se aprovechó ninguna vulnerabilidad de Microsoft. En cambio, el atacante utilizó credenciales válidas para hacerse pasar por aplicaciones de confianza.