ダークウェブでの大規模データ販売
脅威アクターが最近、ダークウェブ上で364万件の企業レコードを販売目的で出品しました。「TheHatman」を名乗る売り手は、これらのデータベースがMicrosoft AzureおよびEntraディレクトリに由来すると主張しています。その結果、世界中の9つの主要企業がこの流出の影響を受けています。被害企業には、McDonald’s、Vodafone、Tata Consultancy Services、HCL Technologiesといった著名な組織が含まれます。この不正な出品には、従業員名、役職、業務用電話番号が含まれています。さらに、部署情報、上司の詳細、技術アカウントの認証情報も明らかになっています。攻撃者は特にグローバル管理者のプロフィールを高く評価しています。
「TheHatman」の出現
「TheHatman」というアカウントは、2026年の春に初めて出現しました。8月中旬時点で、このアカウントの投稿数は9件、フォーラム上の評価はゼロでした。この売り手は8月1日に最初の出品を公開しました。初期の出品には、Hexaware TechnologiesとKyndrylから盗まれたとされるデータベースが含まれていました。Wyndham HotelsとInterContinental Hotels Groupは翌日に登場しました。続いて、HCL Technologiesが8月7日に出現しました。その後、売り手は8月10日にTata Consultancy Servicesを追加しました。そして最後に、Vodafone、McDonald’s、Gapが8月16日にこの不正な取引プラットフォームに姿を現しました。
流出したレコードの分析
McDonald’sに関する広告は、170万件を超える盗難レコードを誇示しています。加えて、Tata Consultancy Servicesは80万行の流出被害に遭ったとされています。Vodafoneの個別出品には、42万5000件の流出データが含まれています。一方、HCL Technologiesでは25万件の社内記録が流出したとされています。InterContinental Hotels Groupは18万5000行の流出データを出品リストに載せています。Kyndrylでは17万件の不正データが公開されています。Gapでは8万件の社内企業情報が流出しています。Hexaware Technologiesには2万件のレコードが含まれています。最後に、Wyndham Hotelsでは9000行の流出データが示されています。現時点では、これら大規模データベースの完全な件数を独立した第三者が検証することはできていません。
McDonald’sのデータ抽出
アナリストたちは、McDonald’sのサンプルを最も入念に調査しました。Ransomnewsの研究者は公開された8000行を調査し、特徴的な構造パターンを特定しました。この内部構造は、Microsoft Entra IDからの本物の抽出であることを強く示唆しています。システム管理者は、このプラットフォームをかつてAzure Active Directoryという名称で知っていました。19の特定フィールドの名称は、PowerShellコマンドの標準的な出力と正確に一致しています。管理者は日常的に、これらのコマンドを使って企業ディレクトリを安全にエクスポートしています。
公開されたサンプル内の50のメールドメインはすべて、正当にMcDonald’sに帰属するものです。このファイルには、社内用ドメインであるmcdonaldscorp.onmicrosoft.comのアドレスが明確に含まれています。また、従業員、店舗スタッフ、フランチャイズ加盟店、外部委託業者の企業アカウントも明らかになっています。さらに、共有の社内メールボックスの詳細も露呈しています。各行は個別のディレクトリアカウントを表していますが、必ずしも現在在籍中の従業員個人を表しているわけではありません。
異常性から見える信憑性
さらにRansomnewsは、このデータセット内に特徴的なエンコードエラーを発見しました。一部の役職名は、常に30文字を超えたところで一貫して切り詰められています。そのため、研究者たちはこれらの技術的な異常を、本物の企業データ抽出であることを裏付ける補足的な証拠と見なしています。住所、電話の国番号、地理的位置についても、検証済みサンプル行の大半で論理的な整合性が取れています。
公開されたサンプルは、主張されている170万件のうちわずか0.47パーセントに過ぎません。したがって、McDonald’sのデータベース全体の件数については、依然として検証されていません。このファイルには、アカウント作成日や最終ログイン日時が完全に欠落しています。この特定の欠落により、セキュリティアナリストは正確なデータ抽出の時期を特定できません。検証済みの行には、パスワード、暗号化ハッシュ、決済情報、機密性の高い顧客情報は含まれていません。
攻撃経路の調査
サイバーセキュリティ企業のHudson Rockは、複数の出品のサンプルを分析しました。同社は最終的に、これらの資料が本物である可能性が非常に高いと結論付けました。この専門的な評価は、社内用アドレスと特定のフィールド名、さらにMicrosoft特有のドメイン構造の分析に基づいています。しかし、Hudson Rockはデータベース全体の件数までは確認していません。また、攻撃者が用いた正確なデータ取得手法についても検証できていません。
「TheHatman」は、この大規模な侵害を実行するために漏洩した認証情報を利用したと主張しています。Hudson Rockは、最近Azureの認証情報が窃取された強い兆候を検出しました。情報窃取型マルウェアは、TCS、Gap、HCL Technologies、Kyndrylの脆弱なユーザーを標的にしていました。この証拠があるにもかかわらず、研究者たちは明確な関連性を証明できていません。「TheHatman」がこれらの漏洩した認証情報を使って大規模なディレクトリをダウンロードしたと断定することはできません。
盗まれたセッショントークンの危険性
情報窃取型マルウェアは、保存されたパスワードやブラウザ内の非公開情報を抽出する危険な能力を持っています。また、有効な認証セッショントークンも窃取します。Microsoftは、盗まれたセッショントークンの深刻な危険性について明確に警告しています。盗まれたトークンがあれば、悪意ある攻撃者は正規のユーザーになりすますことが容易にできてしまいます。この不正アクセスは、トークンが失効するか、管理者が強制的に無効化するまで続きます。アナリストは、「TheHatman」の一連の攻撃活動においてこの手法が実際に使われたことを、まだ確認していません。
企業のディレクトリを入手するために、必ずしも高権限のグローバル管理者権限が必要になるわけではありません。Microsoftによれば、Entraディレクトリの標準的なメンバーは、初期設定で広範な閲覧権限を持っています。デフォルトでは、標準ユーザーは他のユーザー、内部グループ、企業アプリケーションに関するほぼすべての情報を閲覧できます。基本的なディレクトリの閲覧作業には、グローバル管理者権限はまったく必要ありません。「TheHatman」が侵害したアカウントの正確なアクセスレベルは、依然としてまったく判明していません。
各企業の対応と被害軽減策
さらにHudson Rockは、標的型フィッシングが初期の攻撃経路として極めて可能性が高いと見ています。また、過剰なディレクトリ権限を持つ悪意あるサードパーティアプリケーションの関与も疑っています。研究者たちは、Microsoft AzureまたはEntraシステム内に未公開のゼロデイ脆弱性が存在する証拠は一切発見していません。
Tata Consultancy Servicesは、この一連のサイバーセキュリティインシデントについて証券取引所に正式に報告しました。同社の内部調査では、TCSのシステムまたは顧客インフラが侵害されたことを示す決定的な証拠は見つかりませんでした。同社は、公開された詳細情報を基本的かつ過去のものである従業員情報に分類しています。さらに、このデータは4年以上前に収集されたものであると主張しています。したがって、機密性の高い顧客データ、顧客システム、TCSの中核的な業務インフラは一切影響を受けていないとしています。
否定と情報の陳腐化に関する主張
TCSによれば、攻撃者は広範囲にわたるパスワードスプレー攻撃を利用したと主張しているとのことです。また脅威アクターは、複数の多要素認証（MFA）疲労攻撃のリクエストも送信したとされています。TCSは2年以上にわたり、この両方の手法に対して強固な防御策を積極的に講じてきました。同社は現在も、自社の複雑な企業インフラを継続的に監視しています。
同様に、HCLTechも正式な公式声明を発表しました。同社の初期調査では、内部システムや重要な顧客リソースの侵害は一切確認されなかったとしています。同社は、流出した可能性のある情報を、極めて限定的かつ数年前に陳腐化したものと位置づけています。それでも同社は、包括的な社内サイバーセキュリティ調査を積極的に継続しています。
Gapも同様に、事前セキュリティレビューの最終結果を正式に発表しました。同社は、企業システムが侵害された兆候はまったく見られなかったとしています。この小売業者は、流出した情報を限定的かつ機密性が低く、数年前のものであると説明しています。
依然として続くフィッシングの脅威
結局のところ、TCS、HCLTech、Gapの3社は、公開された情報の大半を陳腐化したものと見なしています。これら3社による初期調査では、いずれも社内システムが侵害された兆候は見つかりませんでした。McDonald’s、Vodafone、Kyndryl、InterContinental Hotels Group、Hexaware Technologies、Wyndham Hotelsは、セキュリティ侵害を公式に確認していません。
Hudson Rockは、たとえ古い企業ディレクトリであっても、極めて標的を絞ったフィッシング攻撃を容易にすると強く警告しています。氏名、役職、部署、電話番号、上司の詳細情報は、犯罪者に強力な武器を与えます。攻撃者はこれらの情報を使って、技術サポート担当者や企業幹部になりすますことが容易にできます。グローバル管理者や技術アカウントが明示的に記載されていることは、攻撃者にとって大きな助けとなります。これにより、システム上で高い権限を持つ価値の高い標的を、入念に選び出すことが可能になります。
8月18日時点で、独立系の調査者たちは「TheHatman」がダークウェブフォーラムに投稿した内容を確認しています。また、McDonald’sのサンプルが本物のEntra ID抽出構造と一致することも検証しています。しかし、データベース全体の件数については、依然として完全には検証されていません。ほとんどのレコードの新しさや、企業システムへの最近の不正アクセスについても、独立した確認は得られていません。研究者たちは、Microsoft Azureの中核プラットフォーム自体が直接侵害された兆候を一切発見していません。
翻訳元: https://meterpreter.org/azure-directory-data-leak/
