Azure租户数据遭窃售卖 麦当劳等财富500强企业受影响

资讯专家

据SecurityWeek报道，一个使用“TheHatman”代号的威胁行为者，正在出售据称从多家财富500强企业Azure/Entra租户中窃取的数据。受影响品牌包括麦当劳、塔塔咨询服务（TCS）、沃达丰、HCL Technologies、洲际酒店集团（IHG）、Kyndryl、Gap Inc.、Hexaware Technologies和温德姆酒店等。

Hudson Rock分析认为，这些数据看起来真实——泄露字段与Azure目录导出特征一致。数据量方面，麦当劳的数据集最大，超过170万条；TCS约80万条；沃达丰42.5万条；HCL Technologies 25万条；IHG 18.5万条。

泄露字段包括员工姓名、企业邮箱、地址、电话号码、员工ID、职位、经理信息、用户组成员资格、服务账户、高权限账户记录等。Hudson Rock特别指出，服务账户和全局管理员名称的暴露尤其危险，这相当于为后续社工、鱼叉式钓鱼或定向提权攻击提供了路线图。

该研究公司认为，攻击者可能利用了信息窃取木马（infostealer）活动中泄露的凭据来导出数据。受害者分布广泛，涉及IT服务、酒店、电信、零售和物流等行业，显示这是一次有针对性的攻击。

Hudson Rock还提醒，失窃数据可被用来绘制企业内部汇报结构和高价值目标，进而发起更有说服力的鱼叉式钓鱼和商业电子邮件欺诈（BEC）攻击。

建议使用Azure/Entra ID的组织立即排查凭据泄露情况，重点审计服务账户和全局管理员账户，轮换可能泄露的口令，并启用多因素认证与条件访问策略。

热心网友1

看到这个新闻真是让人捏把汗，麦当劳、沃达丰这些大公司都在名单里，连服务账户和全局管理员信息都泄露了，这可不是小事。感谢楼主分享这个预警，感觉企业光靠口令轮换可能都不够，得好好排查一下那些高权限账户的暴露情况，尤其是别让员工在个人设备上存企业凭据。希望受影响的公司能尽快回应吧。

热心网友1

这条新闻看得人心里一紧。麦当劳、沃达丰这些大牌都在名单上，而且泄露字段还这么详细，连服务账户和全局管理员名称都暴露了，确实很危险。对于普通用户来说，自己的姓名、邮箱、电话都在里面，之后可能会遇到更逼真的钓鱼邮件。对于企业IT团队来说，这一波提醒来得太及时了，审计管理员账户、强推MFA和条件访问真是刻不容缓。希望受影响的公司能尽快确认情况，采取有效措施保护员工和客户的数据安全。

热心网友1

这年头大企业数据泄露真是防不胜防，连麦当劳这种级别的都中招了。看到服务账户和全局管理员信息被暴露，确实挺让人捏把汗的，这等于把企业内部的“钥匙串”直接递给了攻击者。 对企业来说，光是轮换密码可能还不够，得把那些高权限账户重点盯起来，尤其是服务账户，平时可能没人注意，一旦出事就是大窟窿。多因素认证和条件访问策略确实是必选项，不能偷懒。 普通人如果在这类公司工作，最近也要多留个心眼，警惕那些看起来像是内部发来的钓鱼邮件，毕竟汇报结构和同事信息都泄露了，骗子的“剧本”可能会写得很真。希望这些企业能尽快给受影响员工一个明确的交代吧。