TheHatmanとして知られるサイバー攻撃者が、複数の大手企業に属するMicrosoft Azure環境から盗んだと主張するデータベースを販売しており、合計で364万件に達すると述べている。リストには、McDonald’s、Gap Inc.、Vodafone、Tata Consultancy Services、HCL Technologies、InterContinental Hotels Group、Kyndrylなどの企業に関連するとされるデータが含まれている。
これらの販売に関連する投稿は7月31日に始まり、最新の投稿では、McDonald’sの従業員記録170万件超を含むとされるデータベースが宣伝された。攻撃者の説明によれば、データは漏えいした認証情報を使い、Azureテナントから直接ダウンロードされたという。
販売されているデータとは？
TheHatmanは、記録には従業員の氏名、識別子、メールアドレス、職名、電話番号、郵送先住所のほか、サービスアカウントや企業テナントに関連するその他の記録が含まれると述べている。また、攻撃者は購入希望者が内容を確認できるよう、各データベースのサンプルも提示した。
公表された販売情報には、Tata Consultancy Servicesに属するとされる80万件超、Vodafoneに属するとされる42万5,000件、HCL Technologiesの25万件、InterContinental Hotelsの18万5,000件、Kyndrylの17万件が含まれるほか、Wyndham HotelsとHexawareに関連する小規模なデータベースも含まれている。
企業は侵害の発生に疑問を呈す
Tata Consultancy Servicesはインド国立証券取引所への通知で、この主張を調査したものの、自社のシステムや顧客の作業環境が侵害されたことを示す「信頼できる証拠」は見つからなかったと述べた。同社は、データは古いようで、その一部は少なくとも4年前のものであり、従業員の基本情報に限られていると付け加えた。また、攻撃者はアクセス手段としてパスワードスプレーと多要素認証疲労攻撃を使ったと主張しているが、同社は2年以上前からこれらの手法に対する強力な防御策を導入しており、防御策のレビューでも有効性が維持されていることを確認したと述べた。
一方、Gap Inc.は、自社システムが侵害された証拠は見つからず、提示されたデータは限定的かつ機密性のないもので、数年前のものだと述べた。報告書の公開時点で、その他の企業はコメントを発表していなかった。
この主張が重要な理由
脅威インテリジェンス企業のHudson Rockはサンプルを分析し、データには企業ディレクトリの基本的な属性が含まれていると述べた。そこには、アクティブなドメインや、.onmicrosoft.com形式のAzureテナント固有の構造などが含まれる。また、サービスアカウントやグローバル管理者の名前も存在し、これらの詳細はソーシャルエンジニアリング攻撃や標的型フィッシングに利用される可能性がある。
しかしHudson Rockは、アクセス経路とデータ抽出方法は依然として不明だと述べている。一方、BleepingComputerは、流出データの真正性を独自に検証できなかった。そのため、データの提示やサンプルの存在だけでは、記載されたすべての企業が最近侵害されたことは証明されない。特に、一部の組織が情報は古い、または機密性がないと確認しているためだ。現時点で最も明確な結論は、企業ディレクトリのデータは、直接的な秘密情報を含まない場合でも、従業員や高い権限を持つアカウントを標的にするための有用な地図を攻撃者に与え得るということである。