Microsoft Security Research 25 сентября 2026 года описала атаку на среду Azure, в которой были использованы две скомпрометированные служебные учётные записи приложений (service principals). Исследователи наблюдали разведку облачных ресурсов, попытки их удаления и запросы ключей хранилищ.
Что зафиксировали исследователи
По данным Microsoft, одна служебная учётная запись перечисляла ресурсы в течение примерно 15,5 часа. Другая выполняла операции с хранилищами и другими сервисами. В ходе короткой разрушительной фазы было более 100 попыток удалить учётные записи Azure Storage; часть попыток блокировали независимые механизмы защиты. Позже злоумышленники запрашивали ключи доступа к хранилищам.
Microsoft указывает, что секрет одной из служебных учётных записей ранее попал в публичную задачу GitHub и остался доступен в истории её изменений после редактирования. Компания не подтвердила, что именно этот секрет использовали для описанной атаки. Также исследователи не наблюдали требования выкупа и не подтвердили успешное копирование данных из облака. Поэтому произошедшее нельзя описывать как доказанную утечку или установленное заражение конкретным шифровальщиком.
Почему это важно для расследования
Служебная учётная запись — это идентификатор приложения, а не человека. Чтобы восстановить последовательность действий, нужны журналы входов, операции Azure Resource Manager, изменения прав, сведения о ключах и состоянии резервных копий. При этом запись об успешном запросе ключа не доказывает последующее скачивание данных.
Если организация столкнулась с похожим инцидентом, стоит сначала сохранить доступные журналы и конфигурации, затем ограничить скомпрометированные доступы и заменить раскрытые секреты. О том, какие данные собрать без потери хронологии, рассказываем в практической статье. При необходимости можно обсудить расследование инцидента информационной безопасности.
Источник: Microsoft Security Research, 25.09.2026. Обзор «Бизнес-Эксперт» — 04.10.2026.