حملة "ذا هاتمان" لاختراق Azure: تسريب 1.4 مليون سجل موظف من شركات Fortune 500

• ماكدونالدز (McDonald's) — حوالي 1,700,000 سجل (دليل موظفين كامل)
• تاتا كونسلتانسي سيرفيسز (TCS) — حوالي 800,000 سجل (قالت TCS إن البيانات تبدو أقدم من أربع سنوات، ولم تؤكد الاختراق)
• فودافون (Vodafone) — حوالي 425,000 سجل (دليل موظفين كامل)
• إتش سي إل تكنولوجيز (HCLTech) — أكثر من 250,000 سجل (نفت HCLTech الاختراق)
• كايندرايل (Kyndryl) — دليل موظفين كامل
• مجموعة فنادق إنتركونتيننتال (IHG) — دليل موظفين
• جاب إنك (Gap Inc.) — دليل موظفين
• هيكساوير تكنولوجيز (Hexaware) — دليل موظفين
• ويندهام للفنادق والمنتجعات (Wyndham) — دليل موظفين

ملاحظة مهمة: العديد من الشركات المتضررة — مثل TCS وHCLTech — أصدرت بيانات عامة قالت فيه إنها لم تجد دليلاً على حدوث اختراق مباشر لأنظمتها الخاصة . وأشارت TCS إلى أن المعلومات تبدو قديمة جداً (أكثر من أربع سنوات)، مما يشير إلى أن هذه البيانات قد تكون مُجمّعة من تسريبات سابقة أو ناتجة عن تعرض لبيئة شريك تجاري، وليس من اختراق جديد لمستأجر (Tenant) Azure الخاص بالشركة.

طبيعة البيانات المسروقة

المُخرجات المسروقة هي ما يُعرف بصادرات أدلة Azure AD / Entra ID وتتضمن عادةً :

• أسماء الموظفين الكاملة
• عناوين البريد الإلكتروني للشركة
• معرفات الموظفين/المستخدمين
• المسميات الوظيفية وأسماء الأقسام
• حقل "يتبع إلى" (Reports-to) للمدير المباشر
• أرقام الهواتف
• التسلسل الهرمي التنظيمي وهيكل التقارير

الميزة اللافتة في هذه القوائم كانت تضمينها لقطات شاشة من بوابات Azure / Entra ID لإثبات أن البيانات مأخوذة من المصدر مباشرة . من المهم التأكيد أن البيانات لا تشمل معلومات مالية للعملاء أو كلمات مرور أو وثائق عمل سرية.

كيفية الاختراق: النواقل المحتملة

على الرغم من أن Hudson Rock لم ينشر تحليلاً نهائياً للسبب الجذري لهذه الحملة تحديداً، إلا أن الأدلة مجتمعة مع أنماط المخترقين المشابهة تشير إلى عدة سيناريوهات:

سرقة بيانات الاعتماد عبر برمجيات سرقة المعلومات (Infostealers) هو الناقل الأكثر احتمالاً. برمجيات مثل Lumma وRedLine وVidar تجمع بيانات الاعتماد المخزنة في المتصفحات، وملفات تعريف الارتباط الخاصة بالجلسة (Session Cookies)، ورموز المصادقة متعددة العوامل (MFA). تحقيق آخر لـ Hudson Rock بشأن المخترق "Zestix" أظهر أن سرقة بيانات الدخول من سجلات هذه البرمجيات كانت الطريقة الأساسية لاختراق البيانات السحابية، مع غياب MFA على بوابات السحابة لدى العديد من الشركات .

سرقة ملفات تعريف الارتباط للجلسة يسمح للمهاجمين بتجاوز مرحلة إدخال كلمة المرور تماماً. تقوم برمجيات الاختراق بالتقاط ملفات تعريف ارتباط الجلسة النشطة لـ Azure / Entra ID، مما يمكن المهاجم من الدخول كهوية المستخدم المخترق، وقد يتجاوز ذلك المصادقة متعددة العوامل (MFA) في بعض الحالات .

غياب أو ضعف المصادقة متعددة العوامل (MFA) لا يزال عاملاً حاسماً. تقرير صادر عن Hudson Rock في يناير 2026 وجد أن عشرات المنظمات تعرضت لسرقة بيانات من أنظمة سحابية بسبب عدم تفعيلها لـ MFA على بوابات الإدارة .

سوء استخدام التكامل مع الأطراف الثالثة هو احتمال آخر. السياق الأوسع يشمل اختراق سلسلة التوريد لـ LiteLLM (مارس 2026)، حيث تعرضت أداة ذكاء اصطناعي مفتوحة المصدر للاختراق وأدت إلى كشف بيانات اعتماد للتكامل المستمر/النشر المستمر (CI/CD) لـ 2,488 مؤسسة . بعض هذه المؤسسات ظهرت أيضاً ضمن ضحايا TheHatman، لكن لم يتم تأكيد وجود رابط مباشر.

المخاطر المباشرة

على الرغم من غياب كلمات المرور والبيانات المالية، فإن قوائم الموظفين المسروقة تمثل خطراً كبيراً عبر الهجمات التالية:

• اختراق البريد الإلكتروني التجاري (BEC): وجود المخططات التنظيمية وسلاسل المدراء وعناوين البريد المعتمدة يمكن المهاجمين من انتحال شخصية مسؤولين تنفيذيين (مثل المدير التنفيذي أو المدير المالي) لإجراء تحويلات بنكية أو مدفوعات احتيالية .
• التصيّد الاحتيالي الموجّه (Spear-phishing): المسميات الوظيفية والأقسام التفصيلية تتيح إرسال رسائل تصيد شديدة الإقناع ومخصصة لأشخاص معينين .
• تصعيد الصلاحيات والتحرك الجانبي: إذا كانت بيانات الاعتماد المسروقة تشمل مسؤولي عالميين (Global Admins) لـ Azure AD، يمكن للمهاجمين تعديل إعدادات المستأجر (Tenant)، وإنشاء حسابات خلفية (Backdoor)، أو الوصول إلى خدمات مايكروسوفت 365 المتصلة مثل SharePoint و Teams .
• سرقة الهوية والهندسة الاجتماعية: الجمع بين المعلومات الشخصية (PII) والسياق التنظيمي يمكن المهاجمين من انتحال شخصية الموظفين في اتصالات هاتفية أو إلكترونية مع مكاتب المساعدة الفنية لطلب تغيير كلمات المرور أو أجهزة المصادقة.

كيف تندرج هذه الحملة ضمن اتجاهات الجرائم الإلكترونية لعام 2026

حملة TheHatman تجسّد تحولاً هيكلياً في مشهد الجرائم الإلكترونية تصاعد خلال 2025–2026:

1. تراجع برامج الفدية (Ransomware) لصالح ابتزاز سرقة البيانات. المهاجمون يتجاوزون مرحلة تشفير الملفات بالكامل، فهم يقومون بنسخ البيانات أولاً ثم يهددون بنشرها أو بيعها إذا لم يتم دفع الفدية. هذا أسرع وأقل ضوضاء، ويتجنب تعقيد نشر برنامج الفدية عبر الشبكة بالكامل .

2. اختراق السحابة المُمكّن ببيانات الاعتماد هو التكتيك السائد. لم يعد ناقل الهجوم الأساسي هو استغلال الثغرات البرمجية، بل اختراق الهوية؛ حيث تقوم برمجيات اختراق المعلومات والتصيد بجمع بيانات اعتماد صالحة على نطاق واسع، والتي يستخدمها المهاجمون للدخول مباشرة إلى بوابات السحابة (Azure, AWS, ShareFile, Nextcloud) كمستخدمين شرعيين . أساليب عمل "Zestix" و"TheHatman" متطابقة تقريباً.

3. وسطاء الوصول الأولي (IABs) يغذّون النظام البيئي. يبدو أن TheHatman يعمل كبائع للبيانات المسربة، وهو نموذج مشابه لوسطاء الوصول حيث يركز المخترقون المتخصصون على الوصول فقط دون التنفيذ. هذا التخصص يخفض حاجز الدخول أمام مجرمي الإنترنت الأقل مهارة .

4. تضخيم سلسلة التوريد. حادثة LiteLLM أظهرت كيف أن اختراق واحد لأداة ذكاء اصطناعي مفتوحة المصدر يمكن أن يكشف بيانات اعتماد آلاف الشركات . أصبح المهاجمون الآن يستهدفون التكاملات مع الأطراف الثالثة واسعة الانتشار لتعظيم عدد الضحايا المحتملين.

5. قوائم الموظفين أصبحت سلعة رائجة. بدلاً من استهداف أرقام البطاقات الائتمانية أو السجلات الطبية، أصبح المخترقون يحققون أرباحاً من البيانات الوصفية التنظيمية (أسماء، مسميات، تسلسل هرمي) لأنها تمكنهم من تنفيذ هندسة اجتماعية عالية المصداقية على نطاق واسع — وهي عملية أقل خطورة وأعلى ربحية مقارنة بسرقة البيانات التقليدية .