Hacker behauptet 3,6 Millionen Azure-Konten von Großkonzernen gestohlen zu haben
Ein Cyberkrimineller mit dem Pseudonym „TheHatman“ hat 3,6 Millionen Mitarbeiterdatensätze zum Verkauf angeboten, die angeblich aus der Microsoft-Azure-Infrastruktur von Giganten wie McDonald's, Vodafone und Tata gestohlen wurden. Die Unternehmen bestreiten die Vorwürfe und geben an, die Daten seien veraltet.
Was ist passiert
Die Cybersicherheitswelt ist in Aufruhr über die Behauptungen eines Bedrohungsakteurs, der das Pseudonym „TheHatman“ verwendet. Der Hacker behauptet, mehr als 3,6 Millionen Mitarbeiterdatensätze aus der Microsoft-Azure-Cloud-Infrastruktur zahlreicher Fortune-500-Unternehmen, darunter McDonald's, Vodafone, Gap Inc. und Tata Consultancy Services (TCS), gestohlen und zum Verkauf angeboten zu haben. Eine Reihe von Beiträgen in Cybercrime-Foren seit dem 31. Juli hat in der Unternehmenswelt eine erhebliche Welle der Besorgnis ausgelöst. Im Mittelpunkt dieser Anschuldigungen steht die Behauptung, dass eines der wertvollsten Güter der Unternehmen, ihre Mitarbeiterdaten, direkt aus den Azure-Systemen unter Verwendung kompromittierter Administrator-Anmeldeinformationen exfiltriert wurde. Dieser Vorfall unterstreicht einmal mehr die entscheidende Bedeutung der Sicherheit von Cloud-Infrastrukturen und wie selbst ein einziges schwaches Glied zu massiven Konsequenzen führen kann. Die größte zum Verkauf angebotene Datenbank soll Mitarbeitern von McDonald's gehören und 1,7 Millionen Datensätze umfassen. Eine Behauptung über einen Datenleck dieser Größenordnung betrifft nicht nur die genannten Unternehmen, sondern alle Organisationen, die ihre Geschäftsprozesse in Cloud-Systeme verlagert haben. Während unklar bleibt, wie und zu welchem Zweck der Angreifer diese Daten verwenden wird, haben die betroffenen Unternehmen die Vorwürfe zurückgewiesen und angekündigt, eigene interne Untersuchungen eingeleitet zu haben.
Welche Daten wurden kompromittiert
Der Inhalt der von „TheHatman“ zum Verkauf angebotenen Daten zeichnet ein albtraumhaftes Szenario für jedes Unternehmen. Den Behauptungen zufolge enthält der massive Datensatz von 3,64 Millionen Einträgen äußerst sensible und detaillierte Informationen über Mitarbeiter. Diese Informationen umfassen kritische Daten wie vollständige Namen, Mitarbeiter-IDs, geschäftliche E-Mail-Adressen, Berufsbezeichnungen und Positionsinformationen, Mobiltelefonnummern, Postanschriften und Dienstkonten. Allein der Datensatz mit 1,7 Millionen Einträgen, der angeblich zu McDonald's gehört, stellt ein erhebliches Risiko dar. Das zweitgrößte Datenpaket gehört dem Technologieriesen Tata Consultancy Services (TCS) und umfasst über 800.000 Datensätze. In ähnlicher Weise werden für andere Unternehmen Datenbanken mit Hunderttausenden von Einträgen aufgeführt. Diese Art von Daten ist eine Goldgrube für Cyberkriminelle. Die Informationen können verwendet werden, um hochentwickelte Phishing-Angriffe auf Mitarbeiter zu starten, gefälschte Identitäten zu erstellen, Wirtschaftsspionage zu betreiben oder als Sprungbrett für größere Cyberangriffe zu dienen. Insbesondere die Kombination von Berufsbezeichnungen und Kontaktinformationen kann CEO-Betrugsangriffe erleichtern, bei denen Angreifer sich als Führungskräfte ausgeben oder diese gezielt angreifen.
Wie ist der Angriff passiert
Obwohl es noch keine klaren und verifizierten Informationen über die technischen Details des Angriffs gibt, geben Aussagen des Bedrohungsakteurs und eines der betroffenen Unternehmen einige Hinweise. In den Forenbeiträgen gibt der Hacker an, die Daten „direkt aus dem Azure-Tenant unter Verwendung kompromittierter Anmeldeinformationen heruntergeladen“ zu haben. Diese Aussage deutet darauf hin, dass der Angreifer irgendwie die Anmeldeinformationen eines autorisierten Benutzers erlangt hat, um in das System einzudringen. In einer Erklärung von Tata Consultancy Services (TCS) wurde erwähnt, dass der Angreifer behauptete, „Password Spraying“ und „Multi-Faktor-Authentifizierungs-Müdigkeit (MFA Fatigue)“ als Angriffsvektoren verwendet zu haben. Diese Methoden sind unter Cyberkriminellen weit verbreitet.
Password Spraying: Bei dieser Technik versuchen Angreifer nicht, Hunderte verschiedener Passwörter für ein einzelnes Benutzerkonto zu verwenden, sondern probieren ein gängiges und schwaches Passwort (z. B. „Sommer2026!“) bei Hunderten verschiedener Benutzerkonten aus. Diese Methode zielt darauf ab, Mechanismen zur Kontosperrung zu umgehen, die durch mehrere fehlgeschlagene Anmeldeversuche bei einem einzigen Konto ausgelöst werden.
MFA Fatigue: Dies ist eher ein Social-Engineering-Angriff. Wenn der Angreifer versucht, sich mit dem gestohlenen Benutzernamen und Passwort anzumelden, wird eine MFA-Bestätigungsbenachrichtigung an das Telefon des Benutzers gesendet. Der Angreifer wiederholt diesen Vorgang mehrmals und überflutet den Benutzer mit Benachrichtigungen. Nach einer Weile genehmigt der Benutzer, entweder genervt von den Benachrichtigungen oder fälschlicherweise annehmend, dass es sich um eine legitime Anfrage handelt, diese und gewährt dem Angreifer unbeabsichtigt Zugang. Obwohl die Unternehmen diese Behauptungen bestreiten, unterstreicht die angebliche Verwendung dieser Methoden durch den Angreifer die Bedeutung des menschlichen Faktors und der korrekten MFA-Konfiguration in der Unternehmenssicherheit.
Wer war betroffen
Die Unternehmen, deren Daten angeblich von „TheHatman“ kompromittiert wurden, sind Giganten in ihren jeweiligen Branchen. Zu den Organisationen auf der Liste gehören:
- McDonald's (über 1,7 Millionen Datensätze)
- Tata Consultancy Services (TCS) (über 800.000 Datensätze)
- Vodafone (über 425.000 Datensätze)
- HCL Technologies (über 250.000 Datensätze)
- Gap Inc. (über 80.000 Datensätze)
- InterContinental Hotels (IHG)
- Kyndryl
Was Sie tun können
Angesichts solch groß angelegter und unternehmensorientierter Behauptungen über Datenlecks gibt es Maßnahmen, die sowohl Einzelpersonen als auch Organisationen ergreifen können. Wenn Sie ein Mitarbeiter der genannten Unternehmen sind oder waren, ist dies eine Zeit, in der Sie besonders vorsichtig sein sollten. Überprüfen Sie sorgfältig den Absender von eingehenden E-Mails, Textnachrichten und Anrufen. Seien Sie skeptisch gegenüber Nachrichten, die angeblich von Ihrem Unternehmen oder Vorgesetzten stammen und nach sensiblen Informationen fragen oder Sie zum Klicken auf einen Link auffordern. Angreifer können mithilfe Ihrer geleakten Berufsbezeichnung und Kontaktinformationen sehr überzeugende Phishing-Szenarien erstellen.
Für unternehmensinterne Sicherheitsteams ist dieser Vorfall eine Erinnerung an die Bedeutung einer proaktiven Sicherheitsstrategie. Es ist von entscheidender Bedeutung, die Zugriffskontrollen und Administratorkonten, insbesondere in Azure und anderen Cloud-Plattformen, regelmäßig zu überprüfen. Die Implementierung sichererer MFA-Methoden wie Nummernvergleich anstelle einfacher „Genehmigen/Ablehnen“-Benachrichtigungen fügt eine wirksame Verteidigungsschicht gegen MFA-Ermüdungsangriffe hinzu. Es ist immer eine gute Idee zu prüfen, ob Ihre persönlichen Daten bei anderen Lecks offengelegt wurden. Sie können dafür ein Tool zur Datenleck Suche verwenden. Sich über die neuesten Entwicklungen in der Cybersicherheitswelt auf dem Laufenden zu halten, indem Sie zuverlässige Datenleck Nachrichten verfolgen, hilft Ihnen, sich auf zukünftige Bedrohungen vorzubereiten.
Was die Unternehmen sagen
Die Unternehmen im Zentrum der Anschuldigungen versuchen, die Situation durch die Veröffentlichung von Erklärungen unter Kontrolle zu bringen. In einer Mitteilung an die National Stock Exchange of India erklärte Tata Consultancy Services (TCS), dass sie den mutmaßlichen Verstoß untersucht, aber „keine glaubwürdigen Beweise für einen Verstoß gegen die TCS-Systeme oder Kundenumgebungen“ gefunden hätten. Das Unternehmen betonte, dass die zum Verkauf stehenden Informationen mindestens vier Jahre alt sind und nur grundlegende Mitarbeiterinformationen enthalten. TCS fügte hinzu, dass sie seit mehr als zwei Jahren über starke Schutzmaßnahmen gegen Techniken wie Password Spraying und MFA-Müdigkeit verfügen und dass ihre derzeitigen Abwehrmechanismen wirksam bleiben.
Eine ähnliche Erklärung kam von einem Sprecher von Gap Inc. Der Sprecher sagte, dass das Unternehmen keine Beweise für einen Datenleck gefunden habe. Darüber hinaus seien die zum Verkauf angebotenen Daten „im Umfang begrenzt, nicht sensibel und stammen aus mehreren Jahren zuvor“. Der Vertreter von Gap Inc. schloss: „Bemerkenswerterweise gibt es keine Beweise dafür, dass unsere Unternehmenssysteme kompromittiert wurden“, was impliziert, dass die Behauptungen unbegründet sind. Andere Unternehmen haben noch keine offiziellen öffentlichen Erklärungen abgegeben. Die bestehenden Erklärungen deuten jedoch darauf hin, dass zumindest einige der Behauptungen des Hackers nicht verifiziert sind und die Daten möglicherweise nicht aktuell sind.
Quelle
Dieser Inhalt wurde mithilfe künstlicher Intelligenz über unsere Argus Flow-Anwendung erstellt. Wir arbeiten kontinuierlich an der Verbesserung von Argus Flow; sollten Sie auf Übersetzungsfehler, falsche Quellen oder unbestätigte Informationen stoßen, können Sie uns dies über die Schaltfläche unten melden. Wir danken Ihnen für Ihr Feedback.