Ein Cyberkrimineller unter dem Alias “TheHatman” wirbt Millionen von Mitarbeiterdaten, die angeblich aus den Microsoft Azure-Umgebungen mehrerer großer internationaler Unternehmen bezogen wurden. Der Verkäufer behauptet, kompromittierte Zugangsdaten habe Zugang zu Unternehmensmietern ermöglicht, die zu Organisationen wie McDonald’s, Vodafone, Tata Consultancy Services (TCS), Gap Inc., HCL Technologies, InterContinental Hotels Group, Wyndham Hotels, Hexaware und Kyndryl gehören.
Die Einträge erschienen am 31. Juli und liefen bis zum 16. August. Zusammen sollen die Datensätze etwa 3,64 Millionen Datensätze enthalten. Das größte Einzeleintrag erschien am Sonntag und soll mehr als 1,7 Millionen Datensätze enthalten, die mit McDonald’s-Mitarbeitern in Verbindung stehen. Laut dem Verkäufer wurden die Informationen direkt vom Azure-Mieter des Unternehmens mit kompromittierten Zugangsdaten heruntergeladen. Der angebliche McDonald’s-Datensatz enthält Namen, Mitarbeiter-IDs, E-Mail-Adressen, Jobtitel, Telefonnummern, Postadressen und weitere Kontoinformationen.
Ein weiterer großer Datensatz, der von TheHatman beworben wurde, soll angeblich mehr als 800.000 TCS-Mitarbeiterdaten enthalten. Der Verkäufer beschrieb die Informationen erneut als einen Azure-Dump, der durch kompromittierte Zugangsdaten erhalten wurde, aber TCS untersuchte den Vorwurf und bestritt, dass seine Systeme gehackt worden seien.
In einer Klageschrift teilte TCS mit, es habe keine glaubwürdigen Beweise gefunden, dass weder die eigene Infrastruktur noch die Kundenumgebung kompromittiert worden seien. Das Unternehmen stellte fest, dass die mit der Behauptung verbundenen Informationen mindestens vier Jahre alt zu sein schienen und lediglich grundlegende Mitarbeiterdaten enthielten. TCS ging auch auf die Behauptung des Angreifers ein, dass Passwort-Spraying und Multi-Faktor-Authentifizierungsermüdung angewendet worden seien, und erklärte, dass Schutzmaßnahmen gegen diese Techniken seit mehr als zwei Jahren bestehen.
Gap Inc. fand ebenfalls keinen Hinweis darauf, dass seine Unternehmensinfrastruktur kompromittiert worden war. Das Unternehmen berichtete, dass seine vorläufige Untersuchung die beworbenen Informationen als begrenzt, nicht sensibel und mehrere Jahre alt ergab. Die Listing von TheHatman behauptet, dass der Gap-Datensatz mehr als 80.000 Datensätze enthält.
Weitere beworbene Datensätze umfassen mehr als 425.000 Datensätze, die Vodafone zugeschrieben werden, 250.000 mit HCL Technologies verbunden, 185.000 mit InterContinental Hotels verbunden und 170.000 mit Kyndryl verbunden. Kleinere Sammlungen wurden Hexaware und Wyndham Hotels zugeschrieben. Der Verkäufer stellte Proben zusammen mit den Angeboten zur Verfügung, damit potenzielle Käufer Teile der angeblichen Informationen einsehen konnten.
Das Cybercrime-Intelligence-Unternehmen Hudson Rock untersuchte das geleakte Material und berichtete, dass es Unternehmensverzeichnisinformationen mit strukturierten Feldern, aktiven Domains und tenant-spezifischen Microsoft-“.onmicrosoft.com”-Referenzen gefunden hat. Die Forscher identifizierten außerdem Servicekonten und Namen, die mit globalen Administratorrollen verbunden sind.
Hudson Rock sagte, es habe großes Vertrauen darin, dass die Datensätze selbst authentisch sind. Diese Einschätzung stellt jedoch nicht fest, wie die Informationen ursprünglich gewonnen wurden. Die Forscher konnten die Beschreibung des Verkäufers über den ersten Zugriff oder die angeblich verwendete Methode zur Extraktion der Informationen aus Azure-Umgebungen nicht bestätigen.
Diese Unterscheidung ist besonders wichtig, da die Antworten von TCS und Gap die Behauptung infrage stellen, dass ihre aktuellen Unternehmensumgebungen erfolgreich kompromittiert wurden. Derzeit bestätigen die verfügbaren Beweise nicht unabhängig, dass jeder von TheHatman beworbene Datensatz kürzlich direkt aus den Azure-Mietern der Unternehmen extrahiert wurde.
Die Einträge stellen daher eine Mischung aus Angreiferansprüchen, Analyse der beworbenen Daten und Unternehmensuntersuchungen dar, die widersprüchliche Schlussfolgerungen über deren Herkunft ergeben haben. Obwohl Millionen von Datensätzen zum Verkauf angeboten werden, sind die genaue Herkunft, das Alter und die Art der Erhebung der Informationen weiterhin ungeklärt.