Secrets cloud exposés : supprimer le texte ne suffit pas

Microsoft a publié le 25 septembre une analyse d’une activité malveillante observée dans un environnement Azure. Deux identités techniques compromises ont servi à inventorier les ressources, tenter de récupérer des clés et lancer en quelques minutes des suppressions visant notamment du stockage, des applications, des coffres de secrets et des bases de données.

L’accès initial n’est pas confirmé, mais les identifiants d’une des applications avaient auparavant été publiés en clair dans une discussion publique puis retirés. Effacer ou masquer le texte ne désactive pas un secret déjà divulgué : il faut le révoquer ou le renouveler et examiner son historique d’utilisation.

Les opérations ont suivi les autorisations déjà accordées aux identités techniques. Certaines suppressions ont été bloquées par des verrous indépendants, ce qui montre l’intérêt de limiter les rôles, de séparer la protection des sauvegardes et de surveiller les demandes inhabituelles de clés ou de suppression en masse.

Ce retour d’incident concerne un cas identifié et ne constitue pas une alerte de compromission générale. Il fournit toutefois une liste de contrôles utiles pour les hébergements et applications : rechercher les secrets dans le code et les tickets, renouveler ceux qui ont été exposés, réduire les permissions et vérifier la restauration depuis une sauvegarde protégée.