Un cybercriminale che usa l’alias “TheHatman” sta pubblicizzando milioni di registri di dipendenti presumibilmente ottenuti dagli ambienti Microsoft Azure di diverse grandi aziende internazionali. Il venditore sostiene che credenziali compromesse abbiano dato accesso a inquilini aziendali appartenenti a organizzazioni come McDonald’s, Vodafone, Tata Consultancy Services (TCS), Gap Inc., HCL Technologies, InterContinental Hotels Group, Wyndham Hotels, Hexaware e Kyndryl.
Le inserzioni hanno iniziato ad apparire il 31 luglio e sono proseguite fino al 16 agosto. Nel complesso, i dataset contengono circa 3,64 milioni di registrazioni. La più grande scheda individuale è apparsa domenica e presumibilmente contiene più di 1,7 milioni di record associati ai dipendenti di McDonald’s. Secondo il venditore, le informazioni sono state scaricate direttamente dall’inquilino Azure dell’azienda utilizzando credenziali compromesse. Il presunto dataset di McDonald’s contiene nomi, ID dei dipendenti, indirizzi email, titoli di lavoro, numeri di telefono, indirizzi postali e altre informazioni sugli account.
Un altro grande dataset pubblicizzato da TheHatman contenga presumibilmente più di 800.000 record dipendenti TCS. Il venditore ha nuovamente descritto le informazioni come un dump di Azure ottenuto tramite credenziali compromesse, ma TCS ha indagato sull’accusa e ha contestato che i suoi sistemi fossero stati violati.
In un deposito normativo, TCS ha dichiarato di non aver trovato prove credibili che sia la propria infrastruttura né gli ambienti dei clienti siano stati compromessi. L’azienda ha stabilito che le informazioni associate all’affermazione sembravano avere almeno quattro anni di facoltà e consistevano solo in dati di base dei dipendenti. TCS ha inoltre affrontato l’affermazione dell’attaccante secondo cui erano state utilizzate password spraying e affaticamento dell’autenticazione multifattore, affermando che le protezioni contro tali tecniche erano in vigore da più di due anni.
Gap Inc. non ha trovato indicazioni che la sua infrastruttura aziendale fosse stata compromessa. La società ha riferito che la sua indagine preliminare ha rilevato che le informazioni pubblicizzate erano limitate, non sensibili e vecchie di diversi anni. L’inserimento di TheHatman sostiene che il dataset Gap contiene più di 80.000 registrazioni.
Altri dataset pubblicizzati includono più di 425.000 record attribuiti a Vodafone, 250.000 associati a HCL Technologies, 185.000 collegati a InterContinental Hotels e 170.000 collegati a Kyndryl. Collezioni più piccole sono state attribuite a Hexaware e Wyndham Hotels. Il venditore ha fornito campioni insieme agli annunci affinché i potenziali acquirenti potessero esaminare alcune delle informazioni presunte.
La società di intelligence contro la criminalità informatica Hudson Rock ha esaminato il materiale trapelato e ha riferito di aver trovato informazioni di directory aziendali con campi strutturati, domini attivi e riferimenti Microsoft “.onmicrosoft.com” specifici per tenant. I ricercatori hanno anche identificato account di servizio e nomi associati a ruoli di amministratori globali.
Hudson Rock ha dichiarato di avere grande fiducia che i dataset stessi siano autentici. Tuttavia, questa valutazione non stabilisce come le informazioni siano state originariamente ottenute. I ricercatori non sono riusciti a confermare la descrizione del venditore dell’accesso iniziale né il metodo presumibilmente usato per estrarre le informazioni dagli ambienti Azure.
Questa distinzione è particolarmente importante perché le risposte di TCS e Gap mettono in discussione l’ipotesi che i loro attuali ambienti aziendali siano stati violati con successo. A questo punto, le evidenze disponibili non confermano indipendentemente che ogni dataset pubblicizzato da TheHatman sia stato recentemente estratto direttamente dai tenant Azure delle aziende.
Le inserzioni rappresentano quindi un mix di affermazioni di attaccanti, analisi dei dati pubblicizzati e indagini aziendali che hanno portato a conclusioni contrastanti sulla loro origine. Sebbene milioni di documenti vengano messi in vendita, la fonte precisa, l’età e il metodo di acquisizione delle informazioni restano irrisolti.