駭客濫用Microsoft Entra ID，入侵MSP並波及下游客戶

資安業者Todyl於11月3日揭露一起針對代管服務供應商（MSP）的攻擊活動，攻擊者利用被盜的Microsoft Entra ID應用程式註冊（App Registration）憑證，登入多家MSP的Microsoft 365及Azure環境，並進一步入侵其下游客戶。

Todyl調查發現，這波攻擊是從11月1日開始，直到11月3日仍能偵測到攻擊者的登入嘗試，攻擊者利用竊取的Entra ID應用程式憑證，向18個組織的45個應用程式註冊發動攻擊，成功通過其中33個的身分驗證，進而存取27個組織的應用環境，包括MSP以及涵蓋政府、能源、農業、交通及營建等產業下的游客戶。研究人員發現攻擊者曾在25個租戶環境內搜尋資料，下載81個檔案，並取得約2,279筆電子郵件信箱資料。

研究人員還觀察到，攻擊者約95%的登入行為由指令碼工具執行，會在10秒內發動24次登入嘗試，當攻擊者成功登入後，會進一步要求使用Azure Resource Manager憑證，然後再要求使用金鑰儲存庫（Key Vault），以及Microsoft Graph、儲存體與Cognitive Services等服務的權杖，這些動作都是在幾秒內完成。Todyl指出，這波攻擊的運作模式類似自我傳播蠕蟲（Self-Propagating Worm），從攻擊的節奏與速度來看，可能涉及AI輔助工具的使用，但目前尚未能將這些攻擊歸因於任何特定的AI代理工作流程或攻擊框架。