Perusahaan keamanan Todyl melaporkan pada 3 November 2026 bahwa seorang penyerang sejak 1 November masuk ke lingkungan Microsoft 365 dan Azure milik penyedia layanan terkelola (MSP) dengan menyamar sebagai aplikasi milik korban. Penyerang memakai kredensial aplikasi yang dicuri tetapi masih berlaku. Menurut Todyl, sedikitnya 27 organisasi terdampak, termasuk klien dari MSP tersebut.
Todyl menegaskan tidak ada celah di sistem Microsoft yang dieksploitasi dan tidak ada nomor CVE dalam kasus ini. Karena itu, tidak ada patch yang bisa dipasang. Pertahanannya ada di cara organisasi mengelola secret aplikasi.
Apa yang dilakukan penyerang
Penyerang tidak membobol akun pengguna lebih dulu. Ia login sebagai aplikasi memakai secret yang sah, sehingga masuk lewat jalur app-only yang tidak memicu permintaan MFA dan tidak diatur kebijakan Conditional Access yang berfokus pada pengguna. Todyl juga mencatat penyalahgunaan identitas beban kerja federasi di Azure DevOps dan pemutaran ulang token sesi seorang pengguna.
Sekitar 45 registrasi aplikasi di kira-kira 18 organisasi diincar, dan lebih dari 33 berhasil diautentikasi. Penyerang menjalankan pencarian di sekitar 25 tenant, mengunduh 81 berkas (kebanyakan dari SharePoint dengan nama berkaitan kredensial dan konfigurasi), serta mengakses sekitar 2.279 item surel. Todyl memperkirakan berkas itu memuat daftar kata sandi, kunci privat, profil VPN, dan kredensial cadangan. Angka ini hanya mencakup organisasi yang mengirim log ke Todyl, jadi cakupan sebenarnya bisa lebih besar.
Asal kredensial awal belum diketahui. Todyl menilai pelakunya belum teridentifikasi, dan dugaan keterlibatan alat otomatis berbantuan AI hanya berkeyakinan rendah. Todyl sedang memeriksa kemungkinan kaitan dengan ekstensi Claude Code palsu di marketplace Cursor, tetapi belum menghubungkan satu pun organisasi terdampak dengan pemasangan ekstensi itu.
Langkah yang perlu diambil
Administrator Entra ID dan Azure disarankan meninjau log masuk service principal, baik yang berhasil maupun yang gagal, serta menyimpan log audit sebelum terhapus. Pola yang patut dicari adalah satu alamat yang mengautentikasi banyak service principal, urutan token Azure Resource Manager lalu Key Vault, dan unduhan SharePoint secepat kira-kira satu berkas per detik.
Todyl juga menyarankan menghapus secret klien dan kredensial federasi yang tidak terpakai, merotasi secret di Key Vault yang bisa dibaca aplikasi terdampak, dan beralih ke managed identity atau workload identity federation. Pembatasan pembuatan secret lewat kebijakan manajemen aplikasi Entra, pembatasan jaringan untuk Key Vault dan Storage, serta pengetatan token akses pribadi Azure DevOps ikut masuk daftar. MSP perlu mengaudit aplikasi di tenant mitra, memakai akses delegasi GDAP yang minimal dan berbatas waktu, dan berhenti menyimpan secret pelanggan di dokumentasi atau runbook.
Bagi perusahaan di Indonesia yang memakai MSP untuk mengelola Microsoft 365 atau Azure, pertanyaan yang layak diajukan ke penyedia layanan adalah apakah aplikasi dengan akses ke tenant Anda sudah diaudit dan apakah secret-nya pernah dirotasi sejak awal November. Alamat IP penyerang tercantum di laporan Todyl.
Sumber: Todyl dan Cyber Security News. Gambar: Todyl