Ein als TheHatman bekannter Cyberangreifer bietet Datenbanken an, die er nach eigenen Angaben aus Microsoft-Azure-Umgebungen mehrerer großer Unternehmen gestohlen hat, und behauptet, dass sie insgesamt 3,64 Millionen Datensätze umfassen. Die Liste enthält Daten, die McDonald’s, Gap Inc., Vodafone, Tata Consultancy Services, HCL Technologies, InterContinental Hotels Group, Kyndryl und weiteren Unternehmen zugeschrieben werden.
Die mit diesen Angeboten verbundenen Beiträge begannen am 31. Juli. Der jüngste war eine Ankündigung zu einer Datenbank, die angeblich mehr als 1,7 Millionen Datensätze von Mitarbeitern von McDonald’s enthält. Nach Angaben des Angreifers wurden die Daten mithilfe kompromittierter Zugangsdaten direkt aus einem Azure-Mandanten heruntergeladen.
Welche Daten werden angeboten?
TheHatman zufolge enthalten die Datensätze Namen und Kennungen der Mitarbeiter, E-Mail-Adressen, Berufsbezeichnungen, Telefonnummern und Postanschriften sowie Dienstkonten und weitere mit den Unternehmenskonten verbundene Datensätze. Der Angreifer stellte potenziellen Käufern außerdem Stichproben aus jeder Datenbank zur Verfügung, damit diese deren Inhalt überprüfen können.
Zu den angekündigten Angeboten gehören mehr als 800.000 Tata Consultancy Services zugeschriebene Datensätze, 425.000 Vodafone zugeschriebene Datensätze, 250.000 Datensätze von HCL Technologies und 185.000 Datensätze von InterContinental Hotels sowie 170.000 Datensätze von Kyndryl. Hinzu kommen kleinere Datenbanken von Wyndham Hotels und Hexaware.
Unternehmen bezweifeln, dass ein Einbruch stattgefunden hat
Tata Consultancy Services teilte der National Stock Exchange of India in einer Mitteilung mit, das Unternehmen habe die Behauptung untersucht und keine „glaubwürdigen Beweise“ für einen Einbruch in seine Systeme oder die Umgebungen seiner Kunden gefunden. Das Unternehmen fügte hinzu, die Daten schienen veraltet zu sein; ein Teil stamme mindestens vier Jahre zurück und beschränke sich auf grundlegende Mitarbeiterinformationen. Außerdem erklärte das Unternehmen, der Angreifer habe Password Spraying und die Überlastung der Multi-Faktor-Authentifizierung als zwei Methoden für den Zugriff genannt. Tata Consultancy Services betonte, seit mehr als zwei Jahren über starke Schutzmaßnahmen gegen diese Methoden zu verfügen, und eine Überprüfung der Abwehrmaßnahmen habe deren anhaltende Wirksamkeit bestätigt.
Gap Inc. erklärte seinerseits, keine Beweise für einen Einbruch in seine Systeme gefunden zu haben. Die angebotenen Daten seien begrenzt, nicht sensibel und stammten aus mehreren Jahren. Bis zur Veröffentlichung des Berichts hatten die anderen Unternehmen keine Stellungnahme abgegeben.
Warum ist diese Behauptung relevant?
Das auf Bedrohungsaufklärung spezialisierte Unternehmen Hudson Rock analysierte die Stichproben und erklärte, die Daten enthielten grundlegende Merkmale von Unternehmensverzeichnissen, darunter aktive Domains und für Azure-Mandanten typische Strukturen des Typs .onmicrosoft.com. Außerdem seien Dienstkonten und Namen globaler Administratoren enthalten, also Details, die bei Social-Engineering-Angriffen und gezieltem Phishing helfen könnten.
Hudson Rock erklärte jedoch, der Zugriffsweg und die Methode zur Datenextraktion seien weiterhin unbekannt. BleepingComputer konnte die Echtheit der Leaks ebenfalls nicht unabhängig überprüfen. Daher beweisen das Angebot der Daten oder das Vorhandensein von Stichproben nicht, dass alle genannten Unternehmen von einem aktuellen Einbruch betroffen waren, insbesondere da einige Stellen betont haben, die Informationen seien veraltet oder nicht sensibel. Das derzeit deutlichste Ergebnis ist, dass Daten aus Unternehmensverzeichnissen Angreifern selbst dann, wenn sie keine direkten Geheimnisse enthalten, eine nützliche Karte für die gezielte Ansprache von Mitarbeitern und Konten mit weitreichenden Berechtigungen liefern können.