TheHatman이라는 이름으로 알려진 사이버 공격자가 여러 대기업의 Microsoft Azure 환경에서 훔쳤다고 주장하는 데이터베이스를 판매하고 있으며, 총 364만 건에 달한다고 주장했다. 목록에는 McDonald’s, Gap Inc., Vodafone, Tata Consultancy Services, HCL Technologies, InterContinental Hotels Group, Kyndryl 및 기타 기업에 귀속된 데이터가 포함되어 있다.
이러한 판매와 관련된 게시물은 7월 31일에 시작됐으며, 가장 최근 게시물은 McDonald’s 직원 기록 170만 건 이상을 포함한다고 알려진 데이터베이스에 대한 광고였다. 공격자의 설명에 따르면 데이터는 탈취한 자격 증명을 사용해 Azure 테넌트에서 직접 다운로드됐다.
어떤 데이터가 제시됐나?
TheHatman은 해당 기록에 직원 이름, 식별자, 이메일 주소, 직함, 전화번호 및 우편 주소와 함께 서비스 계정 및 기업 테넌트와 관련된 기타 기록이 포함되어 있다고 주장한다. 또한 공격자는 잠재 구매자들이 내용을 확인할 수 있도록 각 데이터베이스의 샘플을 제공했다.
공개된 판매 목록에는 Tata Consultancy Services에 귀속된 80만 건 이상, Vodafone에 귀속된 42만 5천 건, HCL Technologies에 귀속된 25만 건, InterContinental Hotels에 귀속된 18만 5천 건, Kyndryl에 귀속된 17만 건이 포함되어 있으며, Wyndham Hotels와 Hexaware에 대한 더 작은 데이터베이스도 있다.
기업들은 침해 발생에 의문 제기
Tata Consultancy Services는 인도 국가증권거래소에 제출한 공시에서 해당 주장을 조사했지만 시스템이나 고객 환경이 침해됐다는 «신뢰할 만한 증거»를 발견하지 못했다고 밝혔다. 또한 데이터가 오래된 것으로 보이며 일부는 최소 4년 전 자료이고, 기본적인 직원 정보로 제한되어 있다고 덧붙였다. 회사는 공격자가 비밀번호 스프레이와 다중 인증 피로 공격을 접근 수단으로 사용했다고 주장했다면서, 2년 넘게 이러한 수법에 대응할 강력한 보호 수단을 운영해 왔고 방어 체계를 검토한 결과 그 효과가 계속 유지되고 있음을 확인했다고 밝혔다.
한편 Gap Inc.는 시스템 침해의 증거를 발견하지 못했으며, 제시된 데이터는 제한적이고 민감하지 않으며 수년 전 자료라고 밝혔다. 보고서가 발표될 때까지 다른 기업들은 의견을 밝히지 않았다.
이 주장이 중요한 이유
위협 인텔리전스 전문 기업 Hudson Rock은 샘플을 분석한 뒤, 데이터에 활성 도메인과 .onmicrosoft.com 형식의 Azure 테넌트에 고유한 구조를 비롯해 기업 디렉터리의 기본적인 특성이 포함되어 있다고 밝혔다. 또한 서비스 계정과 글로벌 관리자 이름도 존재한다고 지적했으며, 이러한 세부 정보는 사회공학 및 표적 피싱 공격에 활용될 수 있다.
그러나 Hudson Rock은 접근 경로와 데이터 추출 방식이 여전히 알려지지 않았다고 밝혔고, BleepingComputer는 유출 자료의 진위를 독립적으로 확인하지 못했다. 따라서 데이터가 공개되었거나 샘플이 존재한다는 사실만으로 언급된 모든 기업이 최근 침해를 당했다고 입증할 수는 없으며, 특히 일부 기관이 정보가 오래되었거나 민감하지 않다고 확인한 상황에서는 더욱 그렇다. 현재 가장 분명한 결론은 기업 디렉터리 데이터가 직접적인 비밀을 포함하지 않더라도 공격자에게 직원과 높은 권한을 가진 계정을 겨냥하는 데 유용한 지도를 제공할 수 있다는 점이다.