Ein unter dem Pseudonym „TheHatman“ agierender Bedrohungsakteur hat Verkaufsangebote für rund 3,6 Millionen Datensätze veröffentlicht, die mutmaßlich aus den Microsoft-Azure-Umgebungen mehrerer international tätiger Unternehmen stammen.
Zu den betroffenen Organisationen gehören namhafte Konzerne aus verschiedenen Branchen, wobei das Ausmaß der angebotenen Informationen variiert. Während Sicherheitsexperten die Datenbestände als weitgehend authentisch einstufen, liegen von betroffenen Unternehmen teilweise Dementis vor.
Umfang und betroffene Unternehmen
Die Veröffentlichungen des Akteurs umfassen insgesamt neun Angebote. Den größten Anteil nimmt laut den vorliegenden Berichten McDonald’s mit etwa 1,7 Millionen Datensätzen ein. Weitere betroffene Unternehmen und die jeweiligen Datenmengen umfassen laut den Verkaufsanzeigen Tata Consultancy Services (TCS) mit 800.000 Datensätzen, Vodafone mit 425.000 und HCL mit 250.000 Datensätzen.
Zusätzlich stehen Datenbestände der InterContinental Hotels Group (IHG) mit 185.000, Kyndryl mit 170.000 sowie des Einzelhändlers Gap mit 80.000 Einträgen zum Verkauf. Kleinere Datenmengen entfallen auf Hexaware mit 20.000 und Wyndham mit 9.000 Datensätzen.
Erste Analysen von Sicherheitsforschern deuten auf eine hohe Validität der Informationen hin. Das Sicherheitsunternehmen Hudson Rock bewertete die Daten als höchstwahrscheinlich authentisch. Auch eine Stichprobe von rund 8.000 Zeilen aus dem McDonald’s-Datensatz wurde nach einer Untersuchung durch Analysten als echt eingestuft.
Der Schutz vor unbefugten Zugriffen auf Unternehmensdaten beginnt bei der Prävention und dem Wissen um aktuelle Bedrohungslagen. Dieses kostenlose E-Book unterstützt Sie dabei, Sicherheitslücken effektiv zu schließen und Ihr Unternehmen proaktiv gegen Angriffe abzusichern. IT-Sicherheit stärken ohne teure Investitionen
Widersprüchliche Erkenntnisse zur Systemintegrität
Trotz der im Netz angebotenen Informationen gibt es unterschiedliche Darstellungen zum tatsächlichen Eindringen in die Unternehmensnetzwerke. TCS informierte die Börsen Anfang der Woche darüber, dass entsprechende Warnmeldungen über die mögliche Offenlegung von Mitarbeiterinformationen geprüft worden seien. Die interne Untersuchung habe jedoch keine glaubwürdigen Beweise für eine Verletzung der eigenen Systeme oder der Kundenumgebungen ergeben.
Sicherheitsanalysten von Hudson Rock führen die Herkunft der Daten nicht auf eine direkte Schwachstelle in der Cloud-Infrastruktur von Microsoft zurück, sondern auf kompromittierte Anmeldedaten. Diese seien vermutlich durch Infostealer-Infektionen auf Endgeräten entwendet worden, was den Zugriff auf die Azure-Tenants der Unternehmen ermöglicht haben könnte.
Art der Daten und Risikopotenzial
Die zum Verkauf stehenden Informationen enthalten nach bisherigen Erkenntnissen keine Passwörter. Stattdessen handelt es sich primär um sensible Organisationsdaten. Dazu zählen Mitarbeiterverzeichnisse, Berufsbezeichnungen, Namen von Vorgesetzten sowie Informationen zu Servicekonten. Besonders kritisch wird die Nennung von Namen von „Global Admins“ eingestuft, die über weitreichende Berechtigungen in der IT-Infrastruktur verfügen.
Da Datendiebstähle oft als Vorstufe für manipulatives Social Engineering dienen, ist eine gezielte Sensibilisierung für digitale Betrugsversuche unerlässlich. Erfahren Sie in diesem kostenlosen Ratgeber, wie Sie Täuschungstaktiken wie Phishing und CEO-Fraud frühzeitig erkennen und stoppen. Anti-Phishing-Paket für Unternehmen jetzt gratis sichern
Fachleute warnen, dass das Hauptrisiko dieser Datenlecks im Bereich des Social Engineering liegt. Da die Informationen detaillierte Einblicke in die internen Strukturen und Hierarchien der Konzerne bieten, könnten sie als Grundlage für gezielte Phishing-Angriffe oder Identitätsbetrug dienen.
Durch die Kenntnis über interne Zuständigkeiten und Dienstkonten können Angreifer ihre Täuschungsversuche gegenüber Mitarbeitern besonders glaubwürdig gestalten.
