駭客竊取Entra ID憑證入侵MSP 攻擊波及營建等下游客戶

資安廠商Todyl於11月3日發布調查報告指出，有攻擊者利用外洩的Microsoft Entra ID應用程式註冊憑證，針對代管服務供應商（MSP）發動攻擊。調查顯示相關行動始於11月1日，攻擊者向18個組織的45個應用程式發動身分驗證，成功通過其中33個，進而存取27個組織的環境，受影響領域包含MSP及其下游的營建、交通、政府、能源與農業等產業客戶。 根據Todyl觀察，攻擊過程中約95%的登入行為由自動化指令碼執行，能在10秒內發動多達24次嘗試。登入成功後，攻擊工具會在數秒內接連索取Azure Resource Manager、Key Vault、Microsoft Graph與Cognitive Services等服務的權杖。研究人員統計，攻擊者已在25個租戶內搜尋資料、下載81個檔案並取得約2,279筆信箱資料。Todyl表示其運作節奏類似自我傳播蠕蟲並可能涉及AI輔助，但目前尚未歸因於特定框架，並提醒用戶僅更換憑證不足以防禦，應嚴格限制存取管道。

值得帶走的重點

• 攻擊者利用被盜的Entra ID應用程式憑證鎖定18個組織，成功存取27個組織環境，波及營建、政府等下游客戶。
• 攻擊者登入約95%由指令碼執行，可在10秒內發動24次登入，並於數秒內快速索取多項Azure核心服務權杖。
• 調查顯示已有25個租戶遭搜尋、81個檔案遭下載及約2,279筆信箱資料外洩，資安業者建議限制Entra ID存取管道。