Um invasor cibernético conhecido como TheHatman está oferecendo bancos de dados que, segundo ele, foram roubados de ambientes Microsoft Azure pertencentes a várias grandes empresas, alegando que o total chega a 3,64 milhões de registros. A lista inclui dados atribuídos à McDonald’s, Gap Inc., Vodafone, Tata Consultancy Services, HCL Technologies, InterContinental Hotels Group, Kyndryl e outras empresas.
As publicações relacionadas a essas ofertas começaram em 31 de julho, e a mais recente anunciava um banco de dados que supostamente contém mais de 1,7 milhão de registros de funcionários da McDonald’s. Segundo a descrição do invasor, os dados foram baixados diretamente de um locatário do Azure usando credenciais comprometidas.
Quais dados estão sendo oferecidos?
TheHatman afirma que os registros incluem nomes e identificadores de funcionários, endereços de e-mail, cargos, números de telefone e endereços postais, além de contas de serviço e outros registros associados aos locatários corporativos. O invasor também forneceu amostras de cada banco de dados a possíveis compradores para verificar seu conteúdo.
As ofertas anunciadas incluem mais de 800 mil registros atribuídos à Tata Consultancy Services, 425 mil registros atribuídos à Vodafone, 250 mil à HCL Technologies, 185 mil à InterContinental Hotels e 170 mil à Kyndryl, além de bancos de dados menores pertencentes à Wyndham Hotels e à Hexaware.
Empresas questionam a ocorrência de um comprometimento
A Tata Consultancy Services informou à Bolsa Nacional da Índia que investigou a alegação e não encontrou “evidências confiáveis” de comprometimento de seus sistemas ou dos ambientes de seus clientes. A empresa acrescentou que os dados parecem antigos, com parte deles datando de pelo menos quatro anos, e que se limitam a informações básicas dos funcionários. A empresa também afirmou que o invasor alegou ter usado pulverização de senhas e fadiga de autenticação multifator como meios de acesso, ressaltando que dispõe de fortes proteções contra esses métodos há mais de dois anos e que uma revisão de suas defesas mostrou que elas continuam eficazes.
Por sua vez, a Gap Inc. afirmou não ter encontrado evidências de comprometimento de seus sistemas e que os dados oferecidos são limitados, não sensíveis e datam de vários anos. Até a publicação do relatório, as outras empresas não haviam apresentado comentários.
Por que essa alegação é importante?
A empresa de inteligência sobre ameaças Hudson Rock analisou as amostras e afirmou que os dados contêm atributos básicos de diretórios corporativos, incluindo domínios ativos e estruturas específicas de locatários do Azure do tipo .onmicrosoft.com. A empresa também apontou a presença de contas de serviço e nomes de administradores globais, detalhes que podem ajudar em ataques de engenharia social e phishing direcionado.
No entanto, a Hudson Rock afirmou que o caminho de acesso e o método de extração dos dados ainda são desconhecidos, enquanto a BleepingComputer não conseguiu verificar de forma independente a autenticidade dos vazamentos. Portanto, a oferta dos dados ou a existência de amostras não prova que um comprometimento recente tenha atingido todas as empresas mencionadas, especialmente diante da confirmação de algumas organizações de que as informações são antigas ou não sensíveis. A conclusão mais clara no momento é que os dados de diretórios corporativos, mesmo quando não incluem segredos diretos, podem fornecer aos invasores um mapa útil para atingir funcionários e contas com altos privilégios.