Entra registra il controllo credenziali senza un sign-in riuscito
Chi monitora Entra solo dai successi di autenticazione rischia di perdere proprio la fase in cui l’attaccante verifica se un account esiste e se la password è corretta. Il punto debole non è il login riuscito, ma il fatto che un client ID falsificato può lasciare nei log solo un’applicazione vuota o sconosciuta e codici di errore che parlano al posto dell’attaccante.
Proofpoint descrive campagne su larga scala contro milioni di account in migliaia di tenant Microsoft Entra, usando richieste OAuth con ROPC e client ID spoofing. I segnali utili diventano i campi app name vuoti o non corrispondenti e gli errori AADSTS700016, che indicano anche la validità della coppia username/password senza produrre un normale record di sign-in riuscito.
Per i team identity e SOC, il modello di detection basato solo su sign-in positivi o su nomi applicazione noti non basta più: la validazione delle credenziali può passare da fallimenti “leggibili” e non da eventi puliti di accesso.