MSP Process 遭入侵，Microsoft Entra 集成凭据暴露
MSP Process 确认遭到入侵，并表示已通知受影响的合作伙伴。一名客户转贴的通知称， 攻击者访问的存储中有 Entra 应用机密、管理员刷新令牌和委派租户信息。通知称已有客户租户遭到凭据滥用。
- 披露时间
- 2026年11月8日
- 公开披露日期
- 严重程度
- 化粪池炸了
- 无 CVE：这是入侵事件，不是漏洞
- 波及范围
- 使用 MSP Process 连接 Microsoft Partner Center 的托管服务商，以及启用了 Entra 委派集成的客户。
- microsoft-365 · entra
- 在野利用
- 已发现
- MSP Process 确认遭到入侵。客户转贴的通知称已有租户遭到凭据滥用。
发生了什么
客户转贴的通知称，攻击者在侵入内部服务器后访问了一个 MSP Process 存储账户。受影响的集成使用 Microsoft Partner Center 的细粒度委派管理员权限（GDAP），用于 Authenticator、密码重置和联系人同步。 存储中包含 Entra 应用 ID 和客户端机密、连接集成的管理员刷新令牌，以及客户租户和委派角色清单。
攻击者可使用被盗客户端机密获取应用令牌，无需以用户身份登录或通过用户 MFA。能执行哪些操作取决于托管服务商
授予的应用权限。通知列出的 Authenticator 权限包括 Application.ReadWrite.All 和 AppRoleAssignment.ReadWrite.All，
密码重置权限包括 User.ReadWrite.All、User-PasswordProfile.ReadWrite.All 和
UserAuthenticationMethod.ReadWrite.All。
通知称至少两家托管服务商的客户租户遭到滥用。受影响租户的总数，以及每家合作伙伴有哪些数据被复制，仍未确定。
MSP Process 创办人 Patrick Leonard 公开确认公司已发送通知，调查仍在继续。初始入侵途径和完整影响范围尚不明确。 移除原有机密可阻止攻击者继续用它获取新令牌。攻击者另行添加的凭据和权限仍然有效，因此应同时排查合作伙伴租户 及每个已连接的客户租户。
案发时间线
11 月 7 日 09:56 UTC
攻击者访问集成数据存储
客户转贴的通知称，访问从 09:56 持续至约 14:40 UTC。
11 月 7 日 19:05 UTC
被盗存储密钥失效
客户转贴的通知称，MSP Process 已切断攻击者的访问并轮换平台凭据。
2026 年 11 月 8 日
客户通知公开，MSP Process 确认遭到入侵
创办人 Patrick Leonard 表示，公司已通知受影响的合作伙伴，调查仍在继续。
各方说法
我们列出每条说法和它的出处，并标出一手来源（厂商、研究人员、软件仓库）。各方说法不一致时，按最坏的可信情况定级。
- MSP Process 创办人公开回应一手来源确认遭到攻击，已通过邮件和短信通知受影响的合作伙伴，调查仍在继续。
- 客户转贴的 MSP Process 通知说明存储访问时段、凭据暴露、下游租户中的滥用和遏制步骤。
- Petra 的事件观测一手来源观察到来自共享 Azure IP 的异常服务主体活动，归因尚无定论。
- Microsoft Entra 紧急撤销访问指南一手来源说明如何撤销用户会话，以及为何部分访问会持续到令牌或会话过期。
- Microsoft Entra 企业应用遏制指南一手来源说明租户管理员如何阻止向企业应用签发新令牌。
- Microsoft Purview 审计活动参考一手来源列出邮件规则变更、邮件访问和文件下载的审计事件名称。