“…the threat actor used a password spray attack to compromise a legacy non-production test tenant account and gain a foothold…” (Quelle: Microsoft MSRC)
Sowas darf nicht passieren. Irgendwelche aus dem Internet erreichbaren Legacy-Systeme ohne MFA, von denen aus man sich dann auch noch in Richtung der Produktivsysteme ausbreiten kann.
Lernt was draus.