3,6 Millionen Azure Daten von McDonald's, Vodafone, TCS, HCL, IHG etc. im Verkauf

Ein Cyberkrimineller mit dem Alias "theHatman" versucht 3,6 Millionen Unternehmensdaten, die angeblich aus Microsoft-Entra-Tenants entwendet wurden, zu verkaufen. Betroffen sind Unternehmensdaten von McDonald's, Gap Inc., Vodafone, Kyndryl, Tata Consultancy Services, HCL Technologies, InterContinental Hotels (IHG) etc.

Ich hatte vor gut einer Woche erste Hinweise auf eine Liste mit Firmennamen gesehen, deren Daten aus Azure / Entra ID angeblich im Darknet zum Verkauf stehen. War da aber noch sehr vage. Im Blog-Beitrag Cybervorfälle: Valve, RingCentral, Questel, McDonald, Vodafone und mehr hatte ich dann die Tage darauf hingewiesen, dass es wohl ein massives Datenleck im Bereich Azure – Entra ID gegeben habe, bei dem Millionen Datensätze von Tausenden globalen Unternehmen, u.a. McDonald's, Vodafone etc. betroffen seien.

Das "Angebot" zum Datenverkauf im Darknet scheint seit Ende Juli 2026 zu bestehen. Die Sicherheitsforscher von Hudson Rock haben dieses Angebot analysiert und bestätigen im Blog-Beitrag Massive Azure Exfiltration Campaign Exposes Millions of Enterprise Records via Compromised Credentials (Mcdonald's, Vodafone, Kyndryl & Others), dass es legitime Daten von realen Firmen sind, die von Cyberkriminellen erbeutet wurden.

Im Beitrag heißt es: "Die Kampagne betrifft zahlreiche globale Unternehmen aus den Bereichen IT-Dienstleistungen, Gastgewerbe, Telekommunikation, Einzelhandel und Logistik. Unsere Forscher haben die Daten geprüft und sind zu dem Schluss gekommen, dass sie aufgrund der gefundenen Unternehmens-E-Mail-Adressen sowie der Feldnamen, die perfekt mit den Standard-Azure-Verzeichnis-Exporten übereinstimmen, äußerst glaubwürdig erscheinen."

Fortune 500-Firmen betroffen

Genannt wurden von Hudson Rock Opfer wie die McDonald's Corporation, Tata Consultancy Services (TCS), Vodafone, HCL Technologies, InterContinental Hotels Group (IHG), Kyndryl, Gap Inc., Hexaware Technologies und die Wyndham Hotels. Die Daten enthalten interne Mitarbeiterverzeichnisse, die laut Hudson Rock aufgrund der identifizierten E-Mail-Adressen und Feldnamen, die mit Azure Entra ID-Verzeichnis-Exporten übereinstimmen, echt zu sein scheinen. Diese Daten wurden über kompromittierte Zugangsdaten aus Azure Entra ID-Verzeichnissen abgezogen.

Der Datenbestand von McDonald's ist laut Hudson Rock mit über 1,7 Millionen Datensätzen der Größte. Darauf folgt TCS mit 800.000 Datensätzen, während von Vodafone mit 425.000, HCL Technologies mit 250.000 und IHG (Hotels) mit 185.000 Datensätzen dabei ist.

Wie wurden die Daten erbeutet?

Im Blog-Beitrag Cybervorfälle: Valve, RingCentral, Questel, McDonald, Vodafone und mehr hatte ich angedeutet, dass die Cybergruppe TeamPCP einen Lieferkettenangriff auf Trivy und anschließend auf LiteLLM durchführen konnte. Im Anschluss wurden Daten von vielen Unternehmen abgezogen – ich hatte hier berichtet.

Die Unit42 von Palo Alto schreibt in diesem Blog-Beitrag, dass man Kenntnis von einer groß angelegten Kampagne mit Passwort-Spraying-Angriffen habe, die auf den Diebstahl von Anmeldedaten gegen Fortinet-Geräte ("FortiBleed") resultieren. Man habe auch  Zugriffsversuche auf MSSQL-Instanzen beobachtet. Und es liegen Berichte vor, wonach auch Sophos-Geräte ins Visier genommen wurden.

Die Angreifer verwenden eine sorgfältig zusammengestellte Passwortliste, um Passwort-Spraying-Angriffe auf divers Dienste durchzuführen, die per Internet erreichbar sind. Unit 42 geht davon aus, dass die ursprüngliche Passwortliste für diese Aktivität wahrscheinlich aus einer Kombination früherer Sicherheitsverletzungen zusammengestellt wurde. Die erfolgreiche Ausnutzung von Schwachstellen wird nicht ausgeschlossen. Sobald die Angreifer die Anmeldedaten erlangt haben, fügen sie diese ihrer Passwortliste hinzu, um sie für zukünftige Angriffe auf weitere Ziele sowie für die Anmeldung bei bereits kompromittierten Konten zu nutzen.

Unit 42 hat auf dem russischsprachigen Cyberkriminalitätsforum Exploit[.]in einen „Initial Access Broker" (IAB) beobachtet, der die Verantwortung für diese Kampagne übernommen hat, dabei auf eine CVE verwiesen hat (keine weiteren Informationen) und am 16. Juni 2026 die gestohlenen Zugangsdaten zum Verkauf angeboten hat. Unit 42 hat diese Behauptungen über die Daten-Extraktion bislang nicht überprüft, gibt aber die gleichen Namen wie Hudson Rock an. Es dürfte sich also um die gleichen Opfer handeln.  Bei Hudson Rock wird dagegen vermutet, dass die Zugangsdaten über Infostealer-Kampagnen ermittelt wurden.