In de richtlijn van 2 april waarschuwde het agentschap dat hackers via e-mail gedeelde authenticatiegegevens misbruikten om in te breken in de klantensystemen van Microsoft, waaronder die van een niet nader gespecificeerd aantal overheidsinstanties.
CISA weigerde instanties te noemen die mogelijk getroffen waren. Microsoft reageerde niet onmiddellijk op een bericht waarin om commentaar werd gevraagd.
"Andere organisaties kunnen ook zijn getroffen door de exfiltratie van zakelijke e-mail van Microsoft," aldus CISA, dat klanten aanmoedigt om contact op te nemen met Microsoft voor meer informatie.