Verkäufer behauptet Datenleck bei McDonald's-Mitarbeitern

Was ist passiert

Die Cybersicherheitswelt wurde von der Nachricht über ein neues Datenleck erschüttert, das angeblich den globalen Lebensmittelriesen McDonald's zum Ziel hat. Am 17. August 2026 gab ein Verkäufer mit dem Pseudonym "TheHatman" in einem beliebten Forum für den Handel mit Daten den Verkauf einer riesigen Datenbank bekannt, die angeblich McDonald's gehört. Laut der Behauptung des Verkäufers enthält diese Datenbank Aufzeichnungen von über 1,7 Millionen McDonald's-Mitarbeitern und wurde direkt aus den Azure-Cloud-Systemen des Unternehmens entwendet.

Um die Behauptungen zu untermauern, teilte der Verkäufer auch eine Datenstichprobe von 8.000 Zeilen im Forum. Technische Analysen des Cybersicherheits-Nachrichtenportals Ransomnews ergaben, dass diese Stichprobendaten bei allen möglichen Tests authentisch erscheinen. Die Analysten merkten jedoch an, dass sie das genaue Alter der Daten oder die Richtigkeit der vom Verkäufer behaupteten Zahl von 1,7 Millionen Datensätzen noch nicht bestätigen können. Das Verkaufsangebot mit dem Titel "McDonalds 1.7M+ Azure Internal Employee Dump" wurde als Privatverkauf ausgeschrieben, wobei der Verkäufer angab, Angebote von Käufern anzunehmen. Das Fehlen eines Startpreises deutet darauf hin, dass der Wert der Daten durch das Interesse der Käufer bestimmt wird.

Welche Daten wurden kompromittiert

Die vom Verkäufer geteilte 8.000-zeilige Beispieldatei enthüllt den potenziellen Umfang und Inhalt des Lecks. Der Datensatz scheint direkt aus einem Unternehmenssystem exportiert worden zu sein, anstatt nur eine Zusammenstellung von Informationen zu sein. Die angeblich kompromittierten Daten umfassen:

• Mitarbeiterkonten: Informationen über Personal, das in verschiedenen Abteilungen und Positionen im Unternehmen arbeitet.
• Dienstkonten: Nicht-menschliche Identitätskonten, die für den Betrieb automatisierter Systeme und Anwendungen verwendet werden.
• Andere Mandantenkontodatensätze: Verschiedene andere Kontotypen, die in der Azure-Umgebung des Unternehmens vorhanden sind.

Die Struktur der Datei liefert wichtige Hinweise auf den Ursprung der Daten. Spaltenüberschriften wie FacsimileTelephoneNumber und PhysicalDeliveryOfficeName stimmen perfekt mit den Standardeigenschaftsnamen überein, die beim Export einer Benutzerliste aus Entra ID (ehemals Azure Active Directory) mit den PowerShell-Befehlstools von Microsoft verwendet werden. Dies untermauert die Theorie, dass die Daten durch die Ausführung eines autorisierten Befehls und nicht durch eine komplexe Hacking-Operation erlangt wurden.

Alle 50 verschiedenen E-Mail-Domänen, die in den Beispieldaten gefunden wurden, wurden als legitime, von McDonald's kontrollierte Domänen bestätigt. Diese Domänen decken ein breites Spektrum an Personal ab, einschließlich Unternehmensmitarbeitern, Restaurantpersonal, Franchisenehmern und sogar Gastkonten von Lieferanten in mehr als dreißig Ländern. Noch wichtiger ist, dass das Vorhandensein der internen Microsoft-Mandantenadresse mcdonaldscorp.onmicrosoft.com in drei Zeilen – eine Adresse, die nicht öffentlich sichtbar und unmöglich zu erraten ist – als einer der stärksten Beweise dafür gilt, dass die Daten aus dem Inneren der Organisation exportiert wurden.

Wie ist der Angriff passiert

Der Verkäufer, "TheHatman", behauptet, die Daten "direkt vom Azure Tenant unter Verwendung kompromittierter Anmeldeinformationen heruntergeladen" zu haben. Diese Aussage impliziert, dass der Angreifer den Benutzernamen und das Passwort eines Mitarbeiters oder Administrators erlangt, sich als legitimer Benutzer im System angemeldet und dann einen Datenexport durchgeführt hat. Die technischen Spuren in der geteilten Beispieldatei stützen diese Behauptung.

Eines der interessantesten Details, das auf die Echtheit der Daten hindeutet, ist das Vorhandensein von "unbeabsichtigten Fehlern" in der Datei. 233 Zeilen in der analysierten Datei enthalten verstümmelten Text aufgrund von Zeichenkodierungsfehlern. Zum Beispiel das Wort "Königswinter", das als "Königswinter" und "München" als "München" erscheint, ist ein typisches Ergebnis, wenn Daten mit einem Standard-"Export-Csv"-Befehl ohne Angabe der UTF-8-Kodierung exportiert werden. Laut Cybersicherheitsexperten ist ein solcher Fehler in einem fabrizierten Datensatz unwahrscheinlich und verleiht ihm stattdessen einen Hauch von Authentizität, was auf einen echten Betriebsfehler hindeutet.

Ein weiterer entscheidender Hinweis ist, dass Berufsbezeichnungen in 85 Zeilen bei genau 30 Zeichen abgeschnitten sind. Dies deutet darauf hin, dass das Quellsystem, aus dem die Daten gezogen wurden (wahrscheinlich eine ältere HR-Software), ein festes Zeichenlimit für Textfelder erzwingt. Solche technischen Fingerabdrücke stärken die Beweise dafür, dass die Daten direkt aus den internen Systemen des Unternehmens und nicht aus öffentlichen Quellen gesammelt wurden.

Wer ist betroffen

Die geteilten Beispieldaten deuten darauf hin, dass das Leck potenziell ein sehr breites Publikum innerhalb des McDonald's-Ökosystems betreffen könnte. Die Daten zielen auf eine globale Struktur ab, nicht nur auf Mitarbeiter in einem bestimmten Land oder einer bestimmten Abteilung. Betroffene Gruppen könnten sein:

• Mitarbeiter der Unternehmenszentrale: Personal, das in Zentralbüros in verschiedenen Ländern arbeitet.
• Restaurantpersonal: Teammitglieder und Manager, die in Restaurants arbeiten.
• Franchisenehmer und Manager: Konten, die von Franchisenehmern verwendet werden, die ihr eigenes Geschäft unter der Marke McDonald's betreiben.
• Lieferanten und Geschäftspartner: Mitarbeiter von Drittfirmen mit Gastzugang zu Unternehmenssystemen.

Die Tatsache, dass die Beispieldaten über dreißig Länder umfassen, ist ein Indikator für den breiten geografischen Umfang des Lecks. Diese Situation gefährdet Tausende von Personen, die unterschiedlichen gesetzlichen Bestimmungen und Datenschutzgesetzen unterliegen.

Was Sie tun können

Wenn Sie ein Mitarbeiter, Franchisenehmer oder Geschäftspartner von McDonald's sind, ist es ratsam, proaktive Maßnahmen zu ergreifen, bis diese Behauptungen überprüft sind:

• Seien Sie vorsichtig bei Phishing-Angriffen: Informationen wie Namen, Titel und E-Mail-Adressen aus den durchgesickerten Daten könnten verwendet werden, um sehr überzeugende und personalisierte Phishing-E-Mails zu erstellen. Seien Sie besonders wachsam bei E-Mails, die Sie auffordern, Ihr Passwort zurückzusetzen, persönliche Informationen zu überprüfen oder auf einen verdächtigen Link zu klicken.
• Überprüfen Sie Ihre Kontosicherheit: Wenn Sie Ihre McDonald's-E-Mail-Adresse für andere Plattformen (soziale Medien, Banking usw.) verwendet haben, ändern Sie die Passwörter für diese Konten. Verwenden Sie niemals dasselbe Passwort für mehrere Dienste.
• Aktivieren Sie die Multi-Faktor-Authentifizierung (MFA): Aktivieren Sie MFA für alle Ihre Konten, sowohl geschäftliche als auch private, wo immer dies möglich ist. Dies ist eine zusätzliche Sicherheitsebene, die unbefugten Zugriff auf Ihr Konto verhindert, selbst wenn Ihr Passwort kompromittiert wurde.
• Folgen Sie den Unternehmenskommunikationen: Verfolgen Sie die offiziellen Ankündigungen und Anweisungen von McDonald's zu diesem Thema genau. Ihr Unternehmen könnte Sie auffordern, obligatorische Sicherheitsschritte wie eine Passwortzurücksetzung durchzuführen.

Was das Unternehmen sagt

Zum Zeitpunkt der Veröffentlichung dieser Nachricht am 17. August 2026 hat McDonald's noch keine offizielle Erklärung zu den Vorwürfen des Datenlecks abgegeben. Es wird vermutet, dass das Unternehmen die Behauptungen untersucht und eine interne Untersuchung durchführt. Wir werden unseren Bericht weiter aktualisieren, sobald weitere Informationen verfügbar sind.

Quelle

https://securityaffairs.com/197322/cyber-crime/mcdonalds-employee-data-appears-in-leak-seller-claims-1-7m-records-stolen.html