Um threat actor está vendendo bancos de dados de funcionários supostamente roubados da infraestrutura Microsoft Azure de várias empresas da Fortune 500 após obter acesso com credenciais comprometidas.
A partir de 31 de julho, várias publicações de alguém usando o alias “TheHatman” anunciaram lotes de dados de grandes organizações, incluindo McDonald’s, Gap Inc., Vodafone, Tata Consultancy Services, HCL Technologies, InterContinental Hotels (IHG) e Kyndryl.
No total, o threat actor afirma ter 3,64 milhões de registros de dados, sendo que o vazamento mais recente foi publicado no domingo e contém, segundo a alegação, 1,7 milhão de registros de funcionários da McDonald’s.
“Estou vendendo o lote interno de funcionários da McDonald’s Corporation, baixado diretamente do locatário do Azure usando credenciais comprometidas”, afirma o threat actor na publicação.
Segundo a publicação, as informações incluem nomes, IDs de funcionários, endereços de e-mail, cargos, números de telefone, endereços postais, contas de serviço e outros registros de contas do locatário.
O segundo maior lote anunciado seria, segundo a alegação, um dump roubado da Tata Consultancy: um dump do Azure com mais de 800.000 registros de funcionários, “baixado diretamente do locatário do Azure usando credenciais comprometidas”, disse o cibercriminoso.
No entanto, em uma notificação à Bolsa de Valores Nacional da Índia, a Tata informou que investigou o suposto incidente e não encontrou “nenhuma evidência confiável de violação dos sistemas da TCS ou dos ambientes de clientes”.
A empresa afirma que os detalhes parecem ter pelo menos quatro anos e incluem apenas informações básicas de funcionários.
“O atacante afirma ter usado password spray e a fadiga de MFA como vetor de ataque. A empresa mantém salvaguardas robustas contra essas técnicas há mais de dois anos”, informou a Tata.
A companhia também acrescentou que revisou suas defesas e concluiu que elas continuam eficazes.
Um porta-voz da Gap Inc. afirmou que a empresa não encontrou evidências de violação. Além disso, os dados anunciados não têm natureza sensível e “datam de vários anos atrás”.
“Nossa investigação preliminar indica que os dados em questão têm escopo limitado, não são sensíveis e datam de vários anos atrás. De forma notável, não há evidências que sugiram que nossos sistemas corporativos tenham sido comprometidos”, disse o representante da Gap Inc.
Entre 31 de julho e 16 de agosto, TheHatman ofereceu a venda de lotes de dados das seguintes organizações:
Para cada banco de dados anunciado, TheHatman também forneceu uma amostra para que possíveis compradores pudessem verificar as informações.
A empresa de inteligência em cibercrime Hudson Rock analisou os vazamentos e confirmou que eles contêm “atributos fundamentais de diretório corporativo” e uma estrutura de dados clara, com campos que incluem “domínios ativos e estruturas .onmicrosoft.com específicas do locatário”.
Segundo a empresa de cibersegurança, os lotes também contêm contas de serviço e os nomes de administradores globais, o que poderia facilitar ataques de engenharia social e spear phishing.
Embora a Hudson Rock tenha alta confiança de que os dados são autênticos, o vetor de acesso e o método de exfiltração ainda são desconhecidos. Não foi possível verificar de forma independente a autenticidade das informações.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...