TheHatman-Attacke: 3,64 Millionen Azure-Datensätze zum Verkauf

Ein als TheHatman bekannter Akteur bietet derzeit umfangreiche Mitarbeiterverzeichnisse zum Verkauf an, die aus den Azure- und Entra-Mandanten namhafter internationaler Unternehmen stammen sollen. Betroffen sind nach Angaben des Anbieters diverse Global Player aus unterschiedlichen Branchen, darunter McDonald's, Vodafone und Kyndryl.

Umfangreiche Datensätze namhafter Unternehmen im Visier

Die behauptete Gesamtzahl der entwendeten Datensätze beläuft sich auf rund 3,64 Millionen. Den größten Anteil nimmt laut den im Internet kursierenden Informationen McDonald's ein, wovon über 1,7 Millionen Datensätze betroffen sein sollen.

Auch andere Großunternehmen finden sich in der Liste des Bedrohungsakteurs wieder: Für TCS werden rund 800.000 Einträge angegeben, während Vodafone mit rund 425.000 und HCL mit etwa 250.000 Datensätzen gelistet sind.

Weitere betroffene Organisationen sind die InterContinental Hotels Group (IHG) mit rund 185.000, der IT-Infrastrukturdienstleister Kyndryl mit rund 170.000 sowie der Modekonzern Gap mit rund 80.000 Einträgen. Kleinere Datensätze sollen zudem von Hexaware (rund 20.000) und der Wyndham-Hotelgruppe (rund 9.000) stammen.

Die zum Verkauf angebotenen Informationen gehen über einfache Kontaktlisten hinaus. Die Datensätze enthalten nach vorliegenden Berichten Namen, E-Mail-Adressen, Telefonnummern und physische Adressen.

Der Diebstahl interner Mitarbeiterdaten verdeutlicht, wie wichtig ein proaktiver Schutz vor Cyberangriffen und die Kenntnis aktueller Bedrohungslagen für Firmen heute ist. Dieses kostenlose E-Book unterstützt Sie dabei, Sicherheitslücken effektiv zu schließen und neue gesetzliche Anforderungen ohne hohe Investitionen zu erfüllen. Gratis-E-Book: IT-Sicherheit im Unternehmen stärken

Zusätzlich sollen interne Details wie Mitarbeiter-IDs, Jobtitel, Abteilungszugehörigkeiten sowie Informationen über Vorgesetzte enthalten sein. Für IT-Sicherheitsabteilungen besonders besorgniserregend sind Angaben zu Gruppenmitgliedschaften, Dienstkonten und Listen von Administratoren mit globalen Berechtigungen.

Ursachenanalyse und Einschätzung der Authentizität

Sicherheitsexperten von Hudson Rock bewerten die angebotenen Daten nach einer ersten Prüfung als höchstwahrscheinlich authentisch. In ihrer Analyse kommen sie zu dem Schluss, dass der Abfluss der Informationen vermutlich nicht auf eine Schwachstelle in Microsofts Cloud-Infrastruktur zurückzuführen ist.

Ein sogenannter Azure-Zero-Day-Exploit werde nach derzeitigem Kenntnisstand ausgeschlossen. Stattdessen wird die Exfiltration der Daten mit Infostealer-Infektionen in Verbindung gebracht, durch die Zugangsdaten auf Endgeräten abgegriffen worden sein könnten.

Reaktionen der betroffenen Konzerne

Einige der im Datensatz genannten Unternehmen sind den Vorwürfen bereits entgegengetreten. Der IT-Dienstleister TCS verneinte in einer offiziellen Einreichung bei der Bombay Stock Exchange (BSE) die Existenz eines aktuellen, glaubwürdigen Sicherheitsvorfalls. Das Unternehmen erklärte, dass die im Umlauf befindlichen Daten älter als vier Jahre seien und lediglich grundlegende Informationen enthielten.

Wenn sensible Informationen über Organisationsstrukturen in falsche Hände geraten, nutzen Kriminelle diese psychologischen Schwachstellen oft für gezielte Phishing-Versuche aus. Erfahren Sie in diesem kostenlosen Anti-Phishing-Paket, mit welchen Methoden Hacker heute arbeiten und wie Sie Ihre Belegschaft wirksam schützen. Kostenloses Anti-Phishing-Paket für Unternehmen anfordern

Auch der Modeeinzelhändler Gap wies die Berichte zurück. Das Unternehmen betonese, dass kein aktueller Sicherheitsvorfall vorliege. Bei den angebotenen Informationen handele es sich um veraltetes Datenmaterial, das zudem nicht als sensibel eingestuft werde.

Trotz dieser Dementis schätzen Beobachter die Kampagne als potenzielles Sicherheitsrisiko ein. Die detaillierten Organisationsstrukturen und Mitarbeiterdaten könnten als Grundlage für präzise Phishing-Angriffe dienen. Dabei könnten Angreifer versuchen, durch die Verwendung interner Details das Vertrauen der Beschäftigten zu gewinnen, um weitere Zugänge zu den Unternehmensnetzwerken zu erlangen.