一名被称为 TheHatman 的网络攻击者正在出售多个大型企业 Microsoft Azure 环境中的数据库，并声称总量达到 364 万条记录。名单包括据称来自 McDonald’s、Gap Inc.、Vodafone、Tata Consultancy Services、HCL Technologies、InterContinental Hotels Group、Kyndryl 及其他公司的数据。
与这些出售活动相关的帖子于 7 月 31 日开始出现，最新的一则是关于一个据称包含超过 170 万条 McDonald’s 员工记录的数据库广告。根据攻击者的描述，数据是使用被盗凭据直接从 Azure 租户下载的。
出售的数据有哪些？
TheHatman 表示，这些记录包括员工姓名、员工标识符、电子邮件地址、职位名称、电话号码和邮政地址，以及服务账户和其他与企业租户相关的记录。攻击者还向潜在买家提供了每个数据库的样本，以便核实其内容。
已公布的出售内容包括超过 80 万条据称来自 Tata Consultancy Services 的记录、42.5 万条据称来自 Vodafone 的记录、25 万条来自 HCL Technologies 的记录、18.5 万条来自 InterContinental Hotels 的记录，以及 17 万条来自 Kyndryl 的记录，此外还有属于 Wyndham Hotels 和 Hexaware 的规模较小的数据库。
企业质疑是否发生入侵
Tata Consultancy Services 在提交给印度国家证券交易所的通知中表示，公司已调查相关说法，但没有发现其系统或客户工作环境遭到入侵的“可信证据”。该公司补充称，数据看起来已经过时，其中部分数据至少可追溯至四年前，并且仅限于员工基本信息。公司还表示，攻击者声称使用密码喷洒和多因素身份验证疲劳攻击作为入侵手段；Tata Consultancy Services 强调，公司两年多来一直针对这些方法部署了强有力的防护措施，对防御能力的审查也显示其仍然有效。
Gap Inc. 则表示，公司没有发现其系统遭到入侵的证据，所展示的数据有限且不敏感，并且已有数年历史。截至报道发布时，其他公司尚未发表评论。
这一说法为何重要？
威胁情报公司 Hudson Rock 对样本进行了分析，并表示数据包含企业目录的基本特征，包括活动域名以及 Azure .onmicrosoft.com 类型租户所特有的结构。该公司还指出，其中存在服务账户和全球管理员姓名，这些细节可能有助于开展社会工程攻击和定向网络钓鱼。
不过，Hudson Rock 表示，访问路径和数据提取方式仍然未知；与此同时，BleepingComputer 无法独立验证这些泄露数据的真实性。因此，数据被展示出来或存在样本，并不能证明所有被提及的公司都近期遭到了入侵，尤其是考虑到一些机构确认相关信息已经过时或不敏感。目前最明确的结论是，企业目录数据即使不包含直接机密，也可能为攻击者提供一份有用的地图，用于瞄准员工和高权限账户。