Un ciberdelincuente conocido como TheHatman ofrece bases de datos que, según afirma, robó de entornos de Microsoft Azure pertenecientes a varias grandes empresas, alegando que el total alcanza los 3,64 millones de registros. La lista incluye datos atribuidos a McDonald’s, Gap Inc., Vodafone, Tata Consultancy Services, HCL Technologies, InterContinental Hotels Group, Kyndryl y otras empresas.
Las publicaciones relacionadas con estas ofertas comenzaron el 31 de julio, y la más reciente anunciaba una base de datos que supuestamente contiene más de 1,7 millones de registros de empleados de McDonald’s. Según la descripción del atacante, los datos se descargaron directamente de un inquilino de Azure utilizando credenciales comprometidas.
¿Qué datos se ofrecen?
TheHatman afirma que los registros incluyen nombres de empleados, identificadores, direcciones de correo electrónico, cargos, números de teléfono y direcciones postales, además de cuentas de servicio y otros registros relacionados con los inquilinos corporativos. El atacante también proporcionó muestras de cada base de datos a posibles compradores para que verificaran su contenido.
Las ofertas anunciadas incluyen más de 800.000 registros atribuidos a Tata Consultancy Services, 425.000 registros atribuidos a Vodafone, 250.000 a HCL Technologies, 185.000 a InterContinental Hotels y 170.000 a Kyndryl, además de bases de datos más pequeñas pertenecientes a Wyndham Hotels y Hexaware.
Las empresas ponen en duda que se haya producido una intrusión
Tata Consultancy Services declaró en una notificación presentada ante la Bolsa Nacional de la India que investigó la afirmación y no encontró «pruebas creíbles» de una intrusión en sus sistemas o en los entornos de sus clientes. Añadió que los datos parecen antiguos, que algunos se remontan al menos a cuatro años y que se limitan a información básica de los empleados. La empresa también señaló que el atacante afirmó haber utilizado el rociado de contraseñas y la fatiga de la autenticación multifactor como métodos de acceso, y aseguró que cuenta con sólidas medidas de protección contra estas técnicas desde hace más de dos años y que la revisión de sus defensas demostró que siguen siendo eficaces.
Por su parte, Gap Inc. afirmó que no encontró pruebas de una intrusión en sus sistemas y que los datos ofrecidos son limitados, no sensibles y se remontan a varios años. Hasta el momento de la publicación del informe, las demás empresas no habían hecho comentarios.
¿Por qué es importante esta afirmación?
La empresa especializada en inteligencia sobre amenazas Hudson Rock analizó las muestras y afirmó que los datos contienen atributos básicos de directorios corporativos, incluidos dominios activos y estructuras propias de inquilinos de Azure del tipo .onmicrosoft.com. También señaló la presencia de cuentas de servicio y nombres de administradores globales, detalles que podrían ayudar en ataques de ingeniería social y phishing dirigido.
Sin embargo, Hudson Rock afirmó que la vía de acceso y el método de extracción de los datos siguen siendo desconocidos, mientras que BleepingComputer no pudo verificar de forma independiente la autenticidad de las filtraciones. Por lo tanto, la oferta de los datos o la existencia de muestras no demuestra que una intrusión reciente haya afectado a todas las empresas mencionadas, especialmente porque algunas entidades aseguran que la información es antigua o no sensible. La conclusión más clara por ahora es que los datos de los directorios corporativos, incluso cuando no contienen secretos directos, pueden proporcionar a los atacantes un mapa útil para atacar a empleados y cuentas con altos privilegios.