Un cyberattaquant connu sous le nom de TheHatman propose des bases de données qu’il affirme avoir volées dans des environnements Microsoft Azure appartenant à plusieurs grandes entreprises, affirmant que leur total atteint 3,64 millions d’enregistrements. La liste comprend des données attribuées à McDonald’s, Gap Inc., Vodafone, Tata Consultancy Services, HCL Technologies, InterContinental Hotels Group, Kyndryl et d’autres entreprises.
Les publications liées à ces offres ont commencé le 31 juillet. La plus récente annonçait une base de données censée contenir plus de 1,7 million d’enregistrements d’employés de McDonald’s. Selon la description de l’attaquant, les données ont été téléchargées directement depuis un locataire Azure au moyen d’identifiants compromis.
Quelles données sont proposées ?
TheHatman affirme que les enregistrements comprennent les noms et identifiants des employés, leurs adresses e-mail, intitulés de poste, numéros de téléphone et adresses postales, ainsi que des comptes de service et d’autres enregistrements associés aux locataires d’entreprise. L’attaquant a également fourni des échantillons de chaque base de données aux acheteurs potentiels afin qu’ils puissent en vérifier le contenu.
Les offres annoncées comprennent plus de 800 000 enregistrements attribués à Tata Consultancy Services, 425 000 attribués à Vodafone, 250 000 à HCL Technologies, 185 000 à InterContinental Hotels et 170 000 à Kyndryl, ainsi que de plus petites bases de données concernant Wyndham Hotels et Hexaware.
Les entreprises mettent en doute l’existence d’une compromission
Tata Consultancy Services a déclaré dans un avis adressé à la Bourse nationale indienne avoir enquêté sur cette affirmation et n’avoir trouvé « aucune preuve crédible » d’une compromission de ses systèmes ou des environnements de ses clients. L’entreprise a ajouté que les données semblaient anciennes, certaines remontant à au moins quatre ans, et qu’elles se limitaient à des informations élémentaires sur les employés. Elle a également indiqué que l’attaquant affirmait avoir utilisé le « password spraying » et la fatigue liée à l’authentification multifacteur comme moyens d’accès, tout en soulignant qu’elle disposait depuis plus de deux ans de protections solides contre ces méthodes et que l’examen de ses défenses avait confirmé leur efficacité continue.
De son côté, Gap Inc. a déclaré n’avoir trouvé aucune preuve d’une compromission de ses systèmes et que les données proposées étaient limitées, non sensibles et vieilles de plusieurs années. Au moment de la publication du rapport, les autres entreprises n’avaient pas encore fourni de commentaires.
Pourquoi cette affirmation est-elle importante ?
La société spécialisée dans le renseignement sur les menaces Hudson Rock a analysé les échantillons et déclaré que les données contenaient des attributs essentiels des annuaires d’entreprise, notamment des domaines actifs et des structures propres aux locataires Azure de type .onmicrosoft.com. Elle a également signalé la présence de comptes de service et de noms de responsables mondiaux, des informations susceptibles de faciliter les attaques d’ingénierie sociale et l’hameçonnage ciblé.
Toutefois, Hudson Rock a déclaré que le vecteur d’accès et la méthode d’extraction des données demeuraient inconnus, tandis que BleepingComputer n’a pas pu vérifier indépendamment l’authenticité des fuites. La présentation des données ou l’existence d’échantillons ne prouve donc pas qu’une compromission récente a touché toutes les entreprises citées, notamment parce que certaines organisations affirment que les informations sont anciennes ou non sensibles. La conclusion la plus claire à ce stade est que les données des annuaires d’entreprise, même lorsqu’elles ne contiennent pas directement de secrets, peuvent fournir aux attaquants une carte utile pour cibler les employés et les comptes disposant de privilèges élevés.