Credenciais dos portais Azure/Entra de usuários de grandes corporações parecem ter sido comprometidas e foram usadas por um agente malicioso para obter enormes bancos de dados de funcionários dessas mesmas empresas, segundo a consultoria Hudson Rock. O agente agora está em uma campanha de venda desses dados em fóruns frequentados por cibercriminosos, de acordo com o artigo do InfoStealers.
O agente, identificado como “TheHatman”, publicou anúncios em fóruns criminosos oferecendo bases de dados internas de funcionários que ele atribui a empresas como McDonald’s, TCS, Vodafone, HCL Technologies, IHG, Kyndryl, Gap Inc., Hexaware Technologies e Wyndham Hotels. Apenas os registros da McDonald’s somam mais de 1,7 milhão de registros, incluindo nome completo, e-mail, cargo, departamento, telefone e endereço.
A Hudson Rock, citada pela publicação, afirma que os dados parecem legítimos, com campos que correspondem exatamente às exportações padrão do diretório do Azure. A empresa também identificou credenciais Azure comprometidas originárias de infostealers em várias das empresas afetadas, sugerindo que a campanha pode ter se originado da exploração dessas infecções em vez de uma vulnerabilidade sistêmica no Azure.
Serviços e contas globais comprometidos aumentam risco de ataques direcionados
O vazamento inclui não apenas funcionários comuns, mas também contas de serviço e administradores globais. Essa exposição oferece um roteiro para ataques de engenharia social, spear-phishing ou escalonamento de privilégios, segundo a publicação. O volume e a velocidade dos downloads indicam uma abordagem sistemática e automatizada após o acesso inicial ser obtido.
A Hudson Rock recomendou que as organizações monitorem credenciais comprometidas de funcionários e parceiros para detectar infecções por infostealers antes que os atacantes possam explorá-las. O caso reforça a necessidade de autenticação multifator e monitoramento contínuo de acessos a ambientes corporativos na nuvem.
