Miljontals anställdas uppgifter stulna från McDonald’s och Vodafone i Azure-attack

En hotaktör som kallar sig "TheHatman" har sålt omfattande interna personalkataloger stulna från flera Fortune 500-företag, i vad cybersäkerhetsföretaget Hudson Rock beskriver som en storskalig Azure-exfiltreringskampanj som utspelat sig under den senaste veckan.

Miljontals poster från globala storföretag

De stulna uppgifterna inkluderer enligt uppgift personalkataloger från McDonald's ↗ 0.21% (cirka 1,7 miljoner poster), Tata Consultancy Services (800 000 poster), Vodafone ↗ 1.23% (425 000 poster), HCL Technologies (250 000 poster), InterContinental Hotels Group ↗ 0.45% (185 000 poster), Kyndryl ↘ 5.52% (170 000 poster), Gap The Gap, Inc. ↗ 1.03% (80 000 poster), Hexaware Technologies (20 000 poster) och Wyndham Hotels ↘ 0.92% (9 000 poster), enligt Hudson Rocks analys publicerad på forskningsbloggen Infostealers.com.infostealers

Aktören hävdar att katalogerna hämtades direkt från organisationernas Azure- och Entra-identitetsportaler med hjälp av stulna inloggningsuppgifter. De läckta uppgifterna inkluderar företagsmejladresser, telefonnummer, yrkestitlar, avdelningsstrukturer, chefsdetaljer, medlemskap i användargrupper och, mest kritiskt, uppgifter om tjänstekonton och globala administratörer.cybersecuritynews+1

Attackvektorn fortfarande oklar

Även om data verkar vara autentiska baserat på Hudson Rocks analys av e-postdomäner och fältnamn som matchar standardexporter från Azure-kataloger, har den exakta intrångsmetoden inte bekräftats. Forskare på Hudson Rock uppger att kampanjen kan bero på skadlig kod (infostealers) som kompromitterat anställdas sessionstokens, nätfiske som gett administrativ åtkomst, svag tillämpning av flerfaktorautentisering eller missbruk av tredjepartsintegrationer med överdrivna läsrättigheter.infostealers

Företaget noterade att de hittat kompromitterade Azure-inloggningsuppgifter från infostealer-infektioner kopplade till de flesta av de drabbade företagen. De bedömer att kampanjens riktade natur, som endast drabbat stora företag snarare än ett brett spektrum av organisationer, tyder på utnyttjande av stulna inloggningsuppgifter snarare än en systemisk sårbarhet i Azure.infostealers

Omedelbara risker

Exponeringen av interna organisationsstrukturer och privilegierade kontouppgifter skapar en färdig karta för efterföljande attacker, inklusive vd-mejlbedrägerier (business email compromise), riktat nätfiske (spear-phishing) och behörighetseskalering. Identifieringen av globala administratörskonton är särskilt oroande för ransomware-aktörer som söker värdefulla mål inom företagsmiljöer.cybersecuritynews+1