Dados de grandes empresas expostos em ataque ao Azure

Um cibercriminoso está a colocar à venda milhões de registos alegadamente exfiltrados diretamente de clientes Azure de várias grandes organizações internacionais, incluindo empresas presentes na Fortune 500. A campanha terá recorrido a credenciais comprometidas para aceder a instâncias Azure e Microsoft Entra.

O atacante, que utiliza o nome TheHatman, afirma possuir dados de organizações como McDonald’s Corporation, Tata Consultancy Services (TCS), Vodafone, HCL Technologies, InterContinental Hotels Group (IHG), Kyndryl, Gap, Hexaware Technologies e Wyndham Hotels.

Segundo a Hudson Rock, os dados analisados incluem diretórios internos de colaboradores e apresentam endereços de email e campos compatíveis com exportações de diretórios Azure, indícios que apontam para a legitimidade da informação. No entanto, as alegações de exfiltração apresentadas pelo atacante não são, por si só, uma confirmação independente de que todas as organizações tenham sido comprometidas da forma descrita.

O conjunto de dados atribuído à McDonald’s é o maior, com mais de 1,7 milhões de registos. Seguem-se a TCS, com 800 mil, a Vodafone, com 425 mil, a HCL Technologies, com 250 mil, e o IHG, com 185 mil.

Entre a informação alegadamente comprometida encontram-se nomes de colaboradores, endereços de email empresariais, moradas, números de telefone, identificadores de funcionários, cargos, dados sobre responsáveis hierárquicos, pertença a grupos de utilizadores e informação relativa a contas de serviço e contas com privilégios elevados.

A exposição das contas mais privilegiadas é apontada como particularmente preocupante, uma vez que pode fornecer aos atacantes informação útil para preparar novas campanhas de engenharia social, spear phishing ou tentativas direcionadas de escalada de privilégios.

A Hudson Rock considera que a origem da campanha poderá estar em credenciais previamente comprometidas através de infostealers. A empresa afirma ter identificado credenciais roubadas associadas à maioria das organizações afetadas e considera que o perfil das vítimas poderá indicar uma operação direcionada.

A informação exfiltrada pode ainda permitir aos atacantes reconstruir estruturas hierárquicas internas, identificar colaboradores com funções críticas e desenvolver mensagens fraudulentas mais credíveis. Estes dados podem, assim, ser utilizados em ataques de spear phishing e Business Email Compromise (BEC).

A campanha abrange organizações de diferentes setores, incluindo serviços de IT, telecomunicações, hotelaria, retalho e logística, evidenciando os riscos associados ao comprometimento de credenciais com acesso a ambientes empresariais na cloud.