"TheHatman" reivindica exfiltração de 3,1 milhões de registros Azure de McDonald's, TCS e Vodafone via credenciais comprometidas

Um ator de ameaças identificado pelo alias "TheHatman" publicou em fóruns de cibercrima, na semana passada, alegações de posse de vastos diretórios corporativos extraídos de tenants Microsoft Azure e Entra ID via credenciais comprometidas. A campanha, reportada pelo The Register e por múltiplas publicações especializadas em 17 de agosto, afirma atingir multinacionais de setores distintos, com mais de 3,1 milhões de registros de funcionários reivindicados no total.

O ator alega possuir mais de 1,7 milhão de registros da McDonald's, aproximadamente 800 mil da Tata Consultancy Services (TCS), 425 mil da Vodafone, 250 mil da HCL Technologies e 170 mil da Kyndryl, além de volumes menores de Gap Inc., InterContinental Hotels Group (IHG), Wyndham Hotels e Hexaware. Os dados alegados incluem nomes, endereços de e-mail corporativos, números de telefone, IDs de funcionários, cargos, hierarquias de gestão, contas de serviço e listagens de administradores globais do Azure Active Directory.

McDonald's, Vodafone, TCS, HCL, Kyndryl e as demais organizações citadas não haviam se pronunciado publicamente até o fechamento desta matéria.

O vetor de ataque: configurações inseguras, não falha de produto

"TheHatman" não descreveu o método exato de intrusão além de citar credenciais comprometidas. Pesquisadores da Hudson Rock, que analisaram amostras dos dados colocados à venda, descreveram o vetor de acesso como "inconclusivo" com base nas evidências disponíveis. As hipóteses mapeadas pelo setor incluem infostealer colhendo tokens de sessão de máquinas corporativas comprometidas, phishing direcionado a contas com privilégios administrativos, autenticação multifator ausente ou mal configurada em tenants específicos, e integrações de terceiros com permissões excessivas de leitura cross-tenant.

A Microsoft não confirmou qualquer vulnerabilidade nova no Azure ou no Entra ID relacionada à campanha. "TheHatman" afirma ter explorado configurações inseguras, não uma falha de produto, o que tem implicação direta de responsabilidade: se o vetor for confirmado como misconfiguration, o dever de correção recai sobre os operadores dos tenants, não sobre a plataforma.

Por que as listagens de administradores globais amplificam o risco

Dumps convencionais de diretório corporativo têm valor limitado no mercado underground pelo volume disponível. Esta campanha é diferente: "TheHatman" afirma que os datasets incluem contas de serviço e administradores globais do Azure Active Directory. Esses campos transformam um diretório de RH num mapa de ataque operacional. Um administrador global comprometido tem permissão para criar novas credenciais, conceder acesso a aplicações, desativar MFA para contas específicas e modificar políticas de acesso condicional em todo o tenant, sem aprovação adicional em configurações padrão.

Para um CISO, a presença desses campos nos dados alegados é o sinal de ação mais urgente, independente de confirmação oficial da brecha.

A leitura por geografia: Chicago, Chennai e Londres

A lista de vítimas alegadas cobre três geografias de risco distinto. McDonald's opera sistemas de gestão de força de trabalho globalmente a partir de Chicago, com dados de pessoal distribuídos pela Europa, Ásia-Pacífico e América Latina. TCS e HCL Technologies, com sede em Mumbai e Noida respectivamente, empregam juntas mais de 600 mil profissionais em operações distribuídas por mais de 50 países, com clientes concentrados em serviços financeiros e telecomunicações nos EUA e na Europa. Vodafone, operadora britânica com presença comercial em 20 mercados, carrega diretórios Azure sujeitos ao GDPR na Europa e a equivalentes regulatórios no Oriente Médio e na África do Sul.

A combinação de setores sugere que o ator não selecionou vítimas por vertical, mas por vulnerabilidade de configuração compartilhada em Azure Entra ID, possivelmente via um parceiro de integração de identidade ou provedor de SSO comum a múltiplos tenants globais.

O que priorizar agora

A resposta imediata não depende de confirmação. CISOs de organizações que operam tenants Azure com escopo global devem revisar permissões de administrador global, auditar logs de acesso privilegiado das últimas quatro semanas e ativar alertas de Privileged Identity Management (PIM) para elevação de privilégio não aprovada. A janela entre uma exfiltração silenciosa e a publicação em fórum underground costuma ser de semanas; neste caso, o alerta público chegou primeiro.

Campanhas como a atribuída ao "TheHatman" demonstram por que o perímetro de identidade ultrapassou o de rede como superfície de ataque primária em ambientes corporativos modernos: não há firewall que bloqueie uma credencial válida sendo usada pelo operador errado.