Un pirate informatique affirme avoir dérobé 3,6 millions d'enregistrements Azure chez McDonald's, Vodafone et d'autres entreprises.
infohightech ·
Un pirate informatique affirme vendre 3,6 millions de dossiers d'employés liés à Azure provenant de McDonald's, Vodafone, TCS et d'autres entreprises, mais aucune violation de données n'est confirmée.
Un cybercriminel utilisant le pseudonyme « TheHatman » affirme vendre plus de 3,6 millions d'enregistrements d'annuaires d'employés obtenus à partir des environnements Microsoft Entra ID de grandes entreprises telles que McDonald's, Vodafone et Tata Consultancy Services.
Le vendeur a commencé à faire la publicité des bases de données volées sur des forums de cybercriminalité, notamment DarkForum, PwnForums et BreachForumsSt, entre le 31 juillet et la mi-août.
Le plus grand ensemble de données individuel prétend exposer plus de 1,7 million d'enregistrements de McDonald's Corporation, présenté comme un « fichier interne d'employés téléchargé directement depuis Azure Tenant à l'aide d'identifiants compromis ».« TheHatman » diffuse des données prétendument confidentielles d'employés sur un forum de cybercriminalité. Crédit : Hudson Rock
Parmi les autres entreprises importantes répertoriées, on trouve :
- Tata Consultancy Services (TCS) : environ 800 000 enregistrements
- Vodafone : environ 425 000 enregistrements
- HCL Technologies : environ 250 000 enregistrements
- InterContinental Hotels Group (IHG) : environ 185 000 enregistrements
- Kyndryl : environ 170 000 enregistrements
- Gap Inc. : environ 80 000 enregistrements
- Hexaware Technologies : environ 20 000 enregistrements
- Hôtels Wyndham : environ 9 000 enregistrements
Les ensembles de données comprennent les attributs de base de l'annuaire d'entreprise : noms complets, identifiants des employés, numéros de téléphone, adresses postales, adresses électroniques professionnelles (y compris le routage natif .onmicrosoft.com), titres de poste, affectations de gestionnaires, appartenances à des groupes et listes de comptes de service et d'administrateurs globaux.
Vol ciblé lié aux failles de la plateforme
La société de renseignement sur les menaces Hudson Rock a jugé des échantillons des données proposées comme étant « très probablement authentiques », se basant sur la structure des courriels d'entreprise et sur des champs compatibles avec les exportations de l'annuaire Microsoft Entra ID. Cependant, la provenance, l'ancienneté et la méthode d'extraction de ces ensembles de données n'ont pas été confirmées de manière indépendante.
« La divulgation des comptes de service et des noms d’administrateur global est particulièrement préoccupante, car elle fournit une feuille de route directe pour des attaques ultérieures d’ingénierie sociale, de spear-phishing ou d’élévation de privilèges ciblées contre ces organisations », a noté Hudson Rock .
Plutôt qu'une faille zero-day dans Azure lui-même, les analystes de sécurité attribuent ces violations à un logiciel malveillant de type « vol d'informations » , qui dérobe les mots de passe et les jetons de session enregistrés dans les navigateurs des ordinateurs infectés. Hudson Rock a identifié des identifiants compromis dans les journaux d'activité de ce type de logiciel malveillant liés à plusieurs entreprises touchées, dont TCS, Gap, HCL Technologies et Kyndryl.
Selon BleepingComputer , TCS et Gap ont toutes deux réfuté les allégations de récente violation de leurs réseaux . TCS a informé la Bourse nationale indienne que son enquête n'avait révélé aucune preuve crédible d'intrusion, précisant que les données semblaient dater de plus de quatre ans. Un porte-parole de Gap a également déclaré que les analyses préliminaires n'avaient montré aucune compromission des systèmes de l'entreprise et que les données divulguées étaient non sensibles et obsolètes.
« TheHatman » diffuse des données prétendument confidentielles d'employés sur un forum de cybercriminalité. Crédit : HudsonRock.
Le véritable risque, c'est ce qui va suivre.
Même si certaines données sont anciennes, les répertoires d'employés détaillés peuvent constituer un précieux outil d'attaque. Connaître le responsable, le poste, le numéro de téléphone et l'adresse courriel professionnelle d'un employé fournit aux criminels suffisamment d'informations pour rendre crédibles les tentatives d'hameçonnage ou d'usurpation d'identité.
La divulgation des informations des comptes d'administrateur et de service accroît encore les risques, car elle peut aider les attaquants à cibler en priorité les comptes offrant un accès plus étendu. Pour les entreprises, cet incident souligne une évolution majeure de la sécurité du cloud : la simple protection des mots de passe ne suffit plus . Les organisations doivent également surveiller les vols de jetons de session et les infections par des logiciels espions, limiter la visibilité des annuaires et contrôler rigoureusement les applications ayant accès aux environnements Entra.
Pour les employés, les appels ou messages inattendus provenant de personnes connaissant déjà leur poste, leur responsable ou les détails de leur lieu de travail méritent une attention particulière.