In questo articolo Indice dei contenuti 2 sezioni
Un venditore anonimo su un forum criminale sostiene di avere in mano 3,64 milioni di record estratti dagli ambienti Azure di alcune tra le aziende più grandi al mondo, e la lista dei nomi coinvolti è di quelle che fanno alzare più di un sopracciglio: McDonald’s, Gap Inc., Vodafone, Tata Consultancy Services, HCL Technologies, InterContinental Hotels, Kyndryl. Il metodo dichiarato è tanto banale quanto efficace, almeno sulla carta: credenziali compromesse usate per entrare nei tenant cloud e scaricare gli elenchi interni dei dipendenti.
Gli annunci sono comparsi a partire dal 31 luglio, firmati da un utente che si presenta con l’alias TheHatman. L’ultimo, il più corposo, è arrivato domenica e riguarda presumibilmente McDonald’s: oltre 1,7 milioni di record di dipendenti. “Sto vendendo il dump interno dei dipendenti di McDonald’s Corporation, scaricato direttamente dal tenant Azure usando credenziali compromesse”, si legge nel post. Dentro ci sarebbero nomi, identificativi dei dipendenti, indirizzi email, ruoli aziendali, numeri di telefono, indirizzi postali, account di servizio e altri record legati al tenant.
Le aziende smentiscono, o quasi
Il secondo archivio per dimensione riguarda Tata Consultancy Services, con più di 800 mila record di dipendenti che secondo il venditore arriverebbero anch’essi direttamente dal tenant Azure. Qui però la risposta è arrivata subito e per via ufficiale: in una comunicazione al National Stock Exchange of India, Tata ha spiegato di aver indagato e di non aver trovato “prove credibili di una violazione dei sistemi TCS o degli ambienti dei clienti”. I dati, sostiene l’azienda, sembrano vecchi di almeno quattro anni e contengono soltanto informazioni di base sui dipendenti.
C’è anche un passaggio interessante sulla tecnica usata. “L’attaccante afferma di aver utilizzato password spray e MFA fatigue come vettore di attacco. L’azienda ha adottato solide protezioni contro queste tecniche da più di due anni”, si legge nella nota di Tata, che ha aggiunto di aver riesaminato le proprie difese trovandole ancora efficaci. In parole povere: tentativi di indovinare password comuni su molti account contemporaneamente e bombardamento di richieste di autenticazione a due fattori fino allo sfinimento della vittima.
Anche Gap Inc. ha negato qualsiasi compromissione. Un portavoce ha dichiarato che l’indagine preliminare indica dati “di portata limitata, non sensibili e risalenti a diversi anni fa”, precisando che non ci sono elementi che facciano pensare a sistemi aziendali violati.
Cosa contengono davvero i dump
L’elenco completo pubblicato tra il 31 luglio e il 16 agosto comprende, oltre ai casi già citati, Vodafone con più di 425 mila record, HCL Technologies con oltre 250 mila, InterContinental Hotels con più di 185 mila, Kyndryl con oltre 170 mila, Gap Inc. con più di 80 mila, Hexaware con oltre 20 mila e Wyndham Hotels con più di 9 mila. La tipologia è quasi sempre la stessa: nome completo, email, ruolo, telefono, indirizzo. Nel caso di Kyndryl si parla di account dipendenti, account di servizio e altri record del tenant. Per ogni database messo in vendita, TheHatman ha allegato un campione, così che i potenziali acquirenti possano verificare la merce.
L’analisi condotta dalla società di intelligence sul cybercrime Hudson Rock ha confermato che i file contengono “attributi fondamentali della directory aziendale” e una struttura chiara, con campi che includono domini attivi e le tipiche strutture .onmicrosoft.com legate ai singoli tenant. Non solo: dentro ci sarebbero anche account di servizio e nomi di amministratori globali, materiale prezioso per costruire campagne di social engineering e attacchi di spearphishing mirati.
Hudson Rock si dice molto fiduciosa sull’autenticità dei dati, ma il vettore di accesso e il metodo di esfiltrazione restano ignoti. Nessuna verifica indipendente ha confermato finora che gli archivi siano genuini. Le aziende indicate negli annunci sono state contattate per un commento, senza risposta al momento della pubblicazione.
