Nach Recherchen von Hudson Rock verkauft ein Bedrohungsakteur unter dem Pseudonym „TheHatman“ Daten, die angeblich direkt aus den Azure-Mandanten mehrerer großer Unternehmen gestohlen wurden. Genannt werden McDonald’s Corporation, Tata Consultancy Services (TCS), Vodafone, HCL Technologies, InterContinental Hotels Group (IHG), Kyndryl, Gap Inc., Hexaware Technologies und Wyndham Hotels.
Der Akteur behauptet, die Daten aus Azure-/Entra-Instanzen mithilfe geleakter Zugangsdaten exfiltriert zu haben. Hudson Rock schreibt, die Datensätze enthielten interne Mitarbeiterverzeichnisse, die nach den erkannten E-Mail-Adressen und Feldnamen, die zu Azure-Verzeichnisexporten passten, echt wirkten.
Besonders groß ist laut den vorliegenden Angeboten der Datensatz von McDonald’s mit mehr als 1,7 Millionen Einträgen. Dahinter folgen TCS mit 800.000 Datensätzen, Vodafone mit 425.000, HCL Technologies mit 250.000 und IHG mit 185.000 Datensätzen.
Wie Hudson Rock weiter mitteilt, enthalten die Leaks über alle betroffenen Mandanten hinweg durchgängig grundlegende Attribute aus Unternehmensverzeichnissen. Dazu zählen Namen von Beschäftigten, geschäftliche E-Mail-Adressen, Adressen, Telefonnummern, Mitarbeiterkennungen, Jobtitel, Angaben zu Vorgesetzten, Mitgliedschaften in Benutzergruppen, Servicekonten sowie Datensätze zu hoch privilegierten Konten.
Gerade die Offenlegung von Servicekonten und Namen globaler Administratoren bewertet Hudson Rock als besonders kritisch. Nach Einschätzung des Unternehmens liefert das einen direkten Fahrplan für nachgelagerte Social-Engineering-Angriffe, Spear-Phishing oder gezielte Angriffe zur Rechteausweitung gegen die betroffenen Organisationen.
Hudson Rock geht davon aus, dass für die Exfiltration wahrscheinlich Zugangsdaten verwendet wurden, die zuvor in einer gezielten Infostealer-Kampagne kompromittiert worden waren. Das Unternehmen habe nicht nur gestohlene Zugangsdaten identifiziert, die mit den meisten der betroffenen Organisationen verknüpft seien; auch die Auswahl der Opfer deute auf einen gezielten Angriff hin.
Laut Hudson Rock betrifft die Kampagne mehrere weltweit tätige Unternehmen aus IT-Dienstleistungen, Hotellerie, Telekommunikation, Einzelhandel und Logistik. Das gestohlene Material stelle eine unmittelbare Bedrohung für die betroffenen Unternehmen dar, weil sich damit interne Berichtsstrukturen und hochwertige Ziele kartieren ließen. Zudem erleichtere es überzeugende Spear-Phishing- und Business-E-Mail-Compromise-Angriffe.