「TheHatman」と名乗る脅威アクターが、マクドナルド、ボーダフォン、Kyndryl、タタ・コンサルタンシー・サービシズ(TCS)を含む複数のフォーチュン500企業のAzure環境から、数百万件の従業員記録を取得したと主張していることが、Hudson Rockの報告で明らかになりました。
この脅威アクターは過去1週間にわたり、サイバー犯罪フォーラム上で大規模な社内従業員名簿を次々と投稿しており、いずれも被害組織のAzureテナントから直接抜き取ったものだと主張しています。
マクドナルド、ボーダフォン、Kyndryl、TCSに加え、被害を主張されている企業にはHCLテクノロジーズ、インターコンチネンタルホテルズグループ(IHG)、Gap Inc.、Hexawareテクノロジーズ、ウィンダムホテルズも含まれています。
流出データは本物とみられる
売りに出されているデータの量は膨大です。マクドナルドが約170万件の記録で最多となり、次いでTCSが約80万件、ボーダフォンが約42万5,000件、HCLが約25万件と続きます。IHG、Kyndryl、Gap、Hexaware、ウィンダムがそれに続き、件数は各社数千件から17万件超までさまざまです。
マクドナルドの従業員データ流出を宣伝するハッカーフォーラムの投稿(出典: Hudson Rock)
Hudson Rockの研究者は流出データのサンプルを調査し、標準的なAzureディレクトリのエクスポートと一致する企業のメールアドレスやフィールド名を確認しており、このデータはおそらく本物であることを示しています。
「データがほぼ間違いなく本物である可能性が高い一方で、この攻撃キャンペーンがどのように実行されているかは明確になっていません」とHudson Rockは述べています。
「ただし、正確な侵入経路は依然として不明です。この大規模なデータ流出は、従業員のセッショントークンを侵害するインフォスティーラー感染の活発な活動、高い成功率を誇るフィッシングキャンペーンによる管理者権限の獲得、特定のテナントポータルにおける厳格な多要素認証(MFA)の欠如、あるいは複数の環境にわたって過剰な読み取り権限を持つサードパーティAPI・連携機能の悪用が原因である可能性があります。これらのダンプの規模とスピードの大きさは、初期アクセスが確立された後、組織的かつ自動化された手法が用いられていることを示唆しています」と、同社は付け加えています。
Hudson Rockによると、各ダンプには従業員ID、役職、部署、上司および部下の情報、グループメンバーシップ、サービスアカウント、そして一部の場合ではグローバル管理者権限を保有するアカウントの名前まで含まれているといいます。
「サービスアカウントとグローバル管理者名の流出は特に懸念されます。これにより、これらの組織を標的としたソーシャルエンジニアリング、スピアフィッシング、あるいは標的型の権限昇格攻撃への直接的な道筋が示されてしまうためです」と研究者らは警告しています。
Hudson Rockは、これらの組織への侵入にどの認証情報が具体的に使われたのかについては確定的な確認が取れていないとしつつも、名前が挙がった企業の大半に紐づくAzureの侵害された認証情報が、インフォスティーラー感染の結果として出回っていることは確認できているとしています。
「影響を受けた組織の規模が非常に大きいことから判断すると、このキャンペーンはAzureにおける広範なゼロデイ脆弱性というよりも、インフォスティーラー感染を標的にした攻撃に起因している可能性が非常に高いと考えられます。もしこれが広範な脆弱性によるものであれば、こうしたフォーチュン500クラスの巨大企業だけでなく、中小企業を含むより幅広い層の組織に影響が及んでいるはずです」と研究者らは指摘しています。
TCS、従業員データ流出の主張に反論
名前が挙がった9社のうちの1社であるTCSは、従業員データが流出した可能性についての脅威インテリジェンスの警告を受け、8月10日にボンベイ証券取引所へ声明を提出しました。
同社は、自社システムまたは顧客環境が侵害されたことを示す「信頼できる証拠は見つかっていない」と述べています。
TCSは、問題とされている情報は4年以上前のものであり、氏名、ID、役職、連絡先情報といった基本的な従業員情報に限られると報告し、顧客データ、顧客システム、あるいは自社の業務システムが影響を受けたことを示す兆候はないと付け加えています。
「攻撃者はパスワードスプレー攻撃と多要素認証(MFA)疲労攻撃を攻撃手法として用いたと主張しています。当社はこうした手法に対する強固な対策を2年以上前から導入しています。現時点のレビューに基づけば、これらの対策は引き続き有効に機能しており、当社は環境の監視を継続しています」
「当社は今後入手される新たな情報についても引き続き評価を行い、必要に応じて適切な対応を取ります」と結んでいます。
翻訳元: https://www.helpnetsecurity.com/2026/08/18/azure-data-leak-fortune-500-companies/
