ハッカーが大手企業からAzureアカウント記録360万件を窃取したと主張

あるサイバー犯罪者が、侵害した認証情報を使って複数のフォーチュン500企業のMicrosoft Azureインフラに侵入し、そこから盗み出したとされる従業員データベースを販売しています。

​7月31日から、「TheHatman」という別名を使う人物が、McDonald’s、Gap Inc.、Vodafone、Tata Consultancy Services、HCL Technologies、InterContinental Hotels(IHG)、Kyndrylなど大手企業からのデータダンプを複数投稿し、宣伝しています。

この脅威アクターは合計364万件のデータ記録を保有していると主張しており、直近では日曜日に、McDonald’sの従業員記録170万件相当を含むとされるデータが投稿されました。

「侵害した認証情報を使ってAzureテナントから直接ダウンロードした、McDonald’s Corporationの内部従業員データを販売しています」と、脅威アクターは投稿の中で述べています。

TheHatmanによると、このデータには氏名、従業員ID、メールアドレス、役職、電話番号、住所、サービスアカウント、その他のテナントアカウント記録が含まれているとのことです。

2番目に大規模なデータダンプとして宣伝されているのは、Tata Consultancyから盗まれたとされるもので、この犯罪者によれば「侵害した認証情報を使ってAzureテナントから直接ダウンロードした」80万件以上の従業員記録を含むAzureダンプだということです。

しかし、Tataはインド国立証券取引所への通知の中で、この漏洩疑惑について調査を行った結果、「TCSのシステムや顧客環境が侵害されたことを示す信頼できる証拠」は見つからなかったとしています。

同社によると、公開されたとされる情報は少なくとも4年前のもので、基本的な従業員情報のみが含まれているとのことです。

「攻撃者は、パスワードスプレー攻撃と多要素認証(MFA)疲労攻撃を攻撃手段として使用したと主張しています。当社は2年以上前からこうした手法に対する強固な防御策を講じています」とTataは述べています。

同社はさらに、自社の防御策を見直した結果、依然として有効であることが確認されたとも付け加えています。

BleepingComputerに対する声明の中で、Gap Inc.の広報担当者は、侵害の証拠は見つからなかったと述べました。加えて、宣伝されているデータは機密性の高いものではなく、「数年前のもの」だとしています。

「当社の予備調査によると、問題のデータは範囲が限定的で、機密性はなく、数年前のものです。特筆すべき点として、当社の企業システムが侵害されたことを示す証拠はありません」と、Gap Inc.の担当者は述べています。

7月31日から8月16日にかけて、TheHatmanは以下の組織のデータダンプを販売用として提示しています。

宣伝されている各データベースについて、TheHatmanは購入希望者がデータを確認できるようサンプルデータベースも提供しています。

サイバー犯罪インテリジェンス企業のHudson Rockはこの漏洩を分析し、そこに「基本的な企業ディレクトリ属性」と、「アクティブドメインおよびテナント固有の.onmicrosoft.com構造」といったフィールドを含む明確なデータ構造が含まれていることを確認しました。

同サイバーセキュリティ企業によると、このデータダンプにはサービスアカウントやグローバル管理者の名前も含まれており、ソーシャルエンジニアリングやスピアフィッシング攻撃を助長する恐れがあるとのことです。

Hudson Rockはこのデータが本物である可能性が高いと確信していますが、侵入経路やデータ窃取の手法は依然として不明です。BleepingComputerはこのデータが本物であることを独自に検証できていません。

BleepingComputerは今回名前が挙がった企業各社にこの漏洩疑惑について問い合わせましたが、本記事の公開時点でコメントは得られていません。