攻擊者以竊得的 Entra ID 應用程式憑證自動化登入多家 MSP，經委派管理權限波及 27 個組織

資安業者 Todyl 指出，自 11 月 1 日起有攻擊者使用仍有效的竊得憑證，以 MSP 自身的應用程式身分登入其 Microsoft 365 與 Azure 環境，約 18 個組織的 45 個應用程式註冊遭鎖定、逾 33 個驗證成功 ^[1][2]。Todyl 表示攻擊者已觸及 27 個組織，包括 MSP 在政府、能源、運輸、教育等產業的下游客戶，並在約 25 個租戶搜尋、下載 81 個檔案及存取約 2,279 筆信箱項目 ^[1][2]。MSP 與受影響組織應徹底清除遭冒用應用程式的密鑰、憑證與聯合憑證並輪換其可讀取的 Key Vault 內容，同時以條件式存取限制登入來源，因為僅輪換憑證不足以阻擋 ^[1][2]。

使用 Microsoft Entra ID 應用程式註冊（服務主體）存取 Microsoft 365 與 Azure 的 MSP，以及透過多租戶或委派管理（GDAP）應用程式受其管理的下游客戶 ^[1]

1. 將 10 月 28 日起的登入紀錄納入獵捕範圍，檢查服務主體異常登入 ^[1]。
2. 對遭冒用的應用程式移除其密鑰、憑證與聯合憑證，並輪換其可讀取的所有 Key Vault 內容 ^[1]。