Laut den Inseraten von „TheHatman“ stammen die angebotenen Daten aus mehreren großen Unternehmen. Als größte angebliche Beute nennt der Akteur einen internen Mitarbeiterdatenbestand von McDonald’s mit 1,7 Millionen Einträgen, der „direkt aus dem Azure-Tenant mit kompromittierten Zugangsdaten heruntergeladen“ worden sei. Der zweitgrößte angebotene Datenabzug betrifft nach seinen Angaben Tata Consultancy Services und soll mehr als 800.000 Mitarbeiterdatensätze umfassen, ebenfalls angeblich direkt aus dem Azure-Tenant und mithilfe kompromittierter Zugangsdaten beschafft.
Für alle beworbenen Datenbanken stellte der Anbieter nach Angaben des Berichts jeweils eine Beispieldatenbank bereit, damit Interessenten die Daten prüfen können. Beworben wurden zwischen dem 31. Juli und dem 16. August Datensätze zu McDonald’s, Gap Inc., Vodafone, Tata Consultancy Services, HCL Technologies, InterContinental Hotels (IHG) und Kyndryl.
Tata widersprach der Darstellung des Angreifers in einer Mitteilung an die National Stock Exchange of India. Das Unternehmen erklärte, seine Untersuchung habe keine „glaubwürdigen Belege für einen Einbruch in TCS-Systeme oder Kundenumgebungen“ ergeben. Zudem wirkten die Angaben mindestens vier Jahre alt und umfassten nur grundlegende Mitarbeiterinformationen.
Weiter teilte Tata mit, der Angreifer behaupte, Passwort-Spraying und Ermüdung durch Mehrfaktor-Authentifizierung als Angriffsweg genutzt zu haben. Gegen solche Techniken verfüge das Unternehmen nach eigener Aussage seit mehr als zwei Jahren über starke Schutzmaßnahmen. Tata erklärte außerdem, die bestehenden Abwehrmaßnahmen erneut überprüft zu haben; sie seien weiterhin wirksam.
Auch Gap Inc. sieht bislang keinen Hinweis auf eine Kompromittierung. Ein Unternehmenssprecher sagte gegenüber BleepingComputer, die vorläufige Untersuchung deute darauf hin, dass die fraglichen Daten nur begrenzt, nicht sensibel und bereits mehrere Jahre alt seien. Es gebe insbesondere keine Belege dafür, dass die Unternehmenssysteme kompromittiert worden seien.
Hudson Rock untersuchte die veröffentlichten Daten und bestätigte, dass sie „grundlegende Attribute aus Unternehmensverzeichnissen“ sowie eine klare Datenstruktur mit Feldern enthielten, darunter „aktive Domains und tenant-spezifische .onmicrosoft.com-Strukturen“. Nach Angaben des Sicherheitsunternehmens enthalten die Datenabzüge außerdem Servicekonten und die Namen globaler Administratoren.
Gerade diese Informationen könnten laut Hudson Rock Social-Engineering- und Spear-Phishing-Angriffe erleichtern. Zugleich betont das Unternehmen, dass zwar eine hohe Zuversicht in die Echtheit der Daten bestehe, der Zugriffsvektor und die Methode der Exfiltration aber unbekannt seien. BleepingComputer konnte die Echtheit der Daten nach eigenen Angaben nicht unabhängig verifizieren.
BleepingComputer kontaktierte die genannten Unternehmen wegen des möglichen Vorfalls. Bis zur Veröffentlichung lagen dem Bericht zufolge außer den Stellungnahmen von Tata und Gap Inc. keine weiteren Kommentare vor.