Thought Leadership
Ein Hacker namens TheHatman verkauft Daten aus Azure-Konten von McDonald’s, Vodafone und TCS. Millionen Beschäftigte betroffen.
Ein bislang unter dem Pseudonym „TheHatman“ agierender Cyberkrimineller bietet im Internet umfangreiche Datenbestände aus den Microsoft-Azure– und Entra-Instanzen mehrerer Fortune-500-Unternehmen zum Verkauf an. Nach Angaben des Sicherheitsunternehmens Hudson Rock stammen die entwendeten Datensätze aus internen Mitarbeiterverzeichnissen global agierender Konzerne.
Zu den betroffenen Organisationen gehören unter anderem die Fast-Food-Kette McDonald’s mit mehr als 1,7 Millionen abgeflossenen Datensätzen, der IT-Dienstleister Tata Consultancy Services (TCS) mit rund 800.000 Einträgen sowie der Telefondienstleister Vodafone mit 425.000 Datensätzen. Weitere Leaks betreffen HCL Technologies (250.000 Datensätze), die InterContinental Hotels Group (185.000) sowie Unternehmen wie Kyndryl, Gap Inc., Hexaware Technologies und Wyndham Hotels.
Abgeflossene Azure-Informationen und erhöhtes Phishing-Risiko
Die exfiltrierten Daten umfassen grundlegende Attribute aus den Unternehmensverzeichnissen. Dazu zählen Namen von Mitarbeitenden, geschäftliche E-Mail-Adressen, Telefonnummern, Personalnummern, Berufsbezeichnungen, Angaben zu Vorgesetzten sowie Gruppenzugehörigkeiten. Besonders kritisch stufen Sicherheitsexperten den Abfluss von Informationen zu Dienstkonten (Service Accounts) und privilegierten Administratorkonten (Global Admins) ein. Das Sicherheitsunternehmen Hudson Rock erklärte zur Gefahr durch die Datenlecks:
„Die Offenlegung von Service-Konten und Namen globaler Administratoren ist besonders besorgniserregend, da sie einen direkten Fahrplan für anschließende Social-Engineering-, Spear-Phishing- oder gezielte Privilegienerweiterungs-Angriffe auf diese Organisationen liefert.“
Hudson Rock
Ursache Infostealer-Infektionen
Als Ursache für den Datendiebstahl gelten Zugangsdaten, die im Rahmen einer gezielten Infostealer-Kampagne entwendet wurden. Die Angreifer nutzten die erbeuteten Anmeldeinformationen, um sich unbefugten Zugriff auf die Cloud-Tenants der Unternehmen zu verschaffen. Die Veröffentlichung der internen Organisationsstrukturen ermöglicht es Angreifern, Führungshierarchien präzise nachzuvollziehen und hochrangige Ziele für gezielte Betrugsversuche (Business Email Compromise) oder gefälschte Führungskräfte-Nachrichten auszuwählen.
(red)
