Ein Bedrohungsakteur bietet Millionen angeblicher Azure-Kontodatensätze zum Verkauf an und behauptet, sie stammten aus den Microsoft-Cloud-Umgebungen mehrerer großer Unternehmen. Der Verkäufer gibt an, dass kompromittierte Zugangsdaten Zugriff auf Mitarbeiterverzeichnisse und interne Kontoinformationen ermöglichten.
Die Behauptungen wurden nicht unabhängig bestätigt. Mindestens zwei der genannten Unternehmen, Tata Consultancy Services und Gap Inc., erklären, dass ihre Untersuchungen keine Hinweise auf eine Kompromittierung ihrer Systeme ergeben haben.
Hacker bietet Datenbanken mit Mitarbeiterinformationen an
Der Verkäufer, der unter dem Alias TheHatman auftritt, begann Ende Juli damit, die Daten anzubieten. Die veröffentlichten Angebote sollen Datensätze enthalten, die mit Unternehmen wie McDonald’s, Vodafone, Tata Consultancy Services, HCL Technologies, InterContinental Hotels, Gap Inc. und Kyndryl in Verbindung stehen.
Insgesamt behauptet der Akteur, über rund 3,64 Millionen Azure-Kontodatensätze zu verfügen.
Die größte angebliche Datenbank soll mehr als 1,7 Millionen Mitarbeiterdatensätze von McDonald’s enthalten. Der Verkäufer beschreibt sie als internen Datendump aus einer Azure-Umgebung, auf die mithilfe kompromittierter Zugangsdaten zugegriffen wurde.
Die angebotenen Daten sollen unter anderem Namen, Mitarbeiter-IDs, E-Mail-Adressen, Berufsbezeichnungen, Telefonnummern, Postanschriften, Dienstkonten und weitere Kontoinformationen aus den Azure-Umgebungen enthalten.
Unternehmen weisen Behauptungen über Datenlecks zurück
Tata Consultancy Services gibt an, die Vorwürfe untersucht und keine glaubwürdigen Hinweise auf einen Datenverstoß gefunden zu haben, der die eigenen Systeme oder Kundenumgebungen betrifft.
Nach Angaben des Unternehmens scheinen die Daten mindestens vier Jahre alt zu sein und lediglich grundlegende Mitarbeiterinformationen zu enthalten. Zudem seien Schutzmaßnahmen gegen Password Spraying und Angriffe mittels MFA Fatigue seit mehr als zwei Jahren eingerichtet.
Auch Gap Inc. erklärt, keine Hinweise darauf gefunden zu haben, dass seine Unternehmenssysteme kompromittiert wurden. Ein Unternehmenssprecher bezeichnete die angebotenen Informationen als begrenzt, nicht sensibel und mehrere Jahre alt.
Die übrigen vom Verkäufer genannten Unternehmen hatten sich zum Zeitpunkt der Veröffentlichung noch nicht öffentlich zu den Behauptungen geäußert.
Angebotene Datensätze betreffen mehrere Organisationen
Der Bedrohungsakteur behauptet, dass die Daten folgende Datensätze umfassen:
| Unternehmen | Angebliche Anzahl der Datensätze |
|---|---|
| McDonald’s | Mehr als 1,7 Millionen |
| Tata Consultancy Services | Mehr als 800.000 |
| Vodafone | Mehr als 425.000 |
| HCL Technologies | Mehr als 250.000 |
| InterContinental Hotels | Mehr als 185.000 |
| Kyndryl | Mehr als 170.000 |
| Gap Inc. | Mehr als 80.000 |
| Hexaware | Mehr als 20.000 |
| Wyndham Hotels | Mehr als 9.000 |
TheHatman soll außerdem Beispieldateien mit potenziellen Käufern geteilt haben, damit diese die Daten prüfen konnten.
Verzeichnisdaten könnten Phishing-Angriffe unterstützen
Cybersicherheitsforscher, die die Beispieldateien untersucht haben, geben an, dass die Datensätze offenbar Informationen aus Unternehmensverzeichnissen enthalten. Dazu gehören aktive Domains und mandantenspezifische Cloud-Strukturen.
Die Datensätze könnten außerdem Dienstkonten und die Namen globaler Administratoren enthalten. Selbst wenn die Informationen bereits älter sind, könnten sie Kriminellen dabei helfen, überzeugende Phishing- oder Social-Engineering-Angriffe gegen Mitarbeiter zu entwickeln.
Forscher gehen davon aus, dass zumindest ein Teil der Daten authentisch ist. Allerdings bleibt unklar, wie der ursprüngliche Zugriff erfolgte und auf welche Weise die Azure-Kontodatensätze entwendet wurden.
Organisationen, die in den angeblichen Datendumps aufgeführt sind, sollten auf Password-Spraying-Versuche, MFA-Fatigue-Angriffe und gezielte Phishing-Kampagnen achten.
0 Kommentare zu „Hacker behauptet, 3,6 Millionen Azure-Kontodatensätze von Großunternehmen gestohlen zu haben“