TheHatman ukradl 1,4 milionu záznamů zaměstnanců z Fortune 500 přes Azure

• McDonald's Corporation – přibližně 1 700 000+ záznamů (plný adresář zaměstnanců)
• Tata Consultancy Services (TCS) – přibližně 800 000+ záznamů (TCS uvedla, že data jsou pravděpodobně starší čtyř let; průnik nebyl potvrzen)
• Vodafone – přibližně 425 000+ záznamů (plný adresář zaměstnanců)
• HCL Technologies – 250 000+ záznamů (HCL popřela, nenašla důkaz o průniku)
• Kyndryl – plný adresář zaměstnanců
• InterContinental Hotels Group (IHG) – adresář zaměstnanců
• Gap Inc. – adresář zaměstnanců
• Hexaware Technologies – adresář zaměstnanců
• Wyndham Hotels & Resorts – adresář zaměstnanců

Důležité upozornění: Několik obětí – TCS, HCLTech a další – veřejně prohlásilo, že nenašly žádný důkaz o přímém průniku do svých systémů. TCS uvedla, že data jsou zřejmě starší čtyř let a omezují se na základní informace o zaměstnancích . To naznačuje, že data mohla být agregována ze starších úniků, expozice v prostředí partnerů nebo přístupu přes třetí strany, nikoliv z čerstvého průniku do Azure tenantu každé společnosti.

Co ukradená data obsahují

Exportované adresáře jsou standardními exporty zaměstnanců z Azure AD / Entra ID a obvykle zahrnují :

• Celá jména zaměstnanců
• Firemní e-mailové adresy
• ID zaměstnanců / uživatelů
• Pracovní pozice a názvy oddělení
• Pole „nadřízený“ (manager reports-to)
• Telefonní čísla
• Data o organizační hierarchii a struktuře reportingu

Inzeráty obsahovaly snímky obrazovky portálu Azure / Entra ID jako důkaz původu dat . Data podle všeho neobsahují finanční informace zákazníků, hesla ani utajované obchodní dokumenty.

Jak se útočníci dostali dovnitř: Možné vektory

Společnost Hudson Rock dosud nezveřejnila definitivní analýzu hlavní příčiny této konkrétní kampaně, ale důkazy a paralelní vzorce chování hrozivých herců ukazují na několik vektorů:

Kompromitované přihlašovací údaje z infostealer malwaru je nejpravděpodobnější primární vektor. Infostealery jako Lumma, RedLine a Vidar sbírají přihlašovací údaje uložené v prohlížečích, session cookies a MFA tokeny. Paralelní vyšetřování Hudson Rock týkající se hrozivého herce „Zestix“ ukázalo, že krádež přihlašovacích údajů z logů infostealerů byla hlavní metodou vstupu pro exfiltraci cloudových dat a mnoho podniků nemělo na svých cloudových portálech zavedeno MFA .

Krádež session cookies umožňuje útočníkům zcela obejít zadávání hesel. Infostealery zachycují aktivní session cookies pro Azure / Entra ID, což útočníkům umožňuje autentizovat se jako oběť, někdy i obejít MFA .

Slabé nebo chybějící MFA zůstává kritickým faktorem. Zpráva Hudson Rock z ledna 2026 zjistila, že desítky organizací přišly o data z cloudových systémů právě proto, že nezavedly MFA na administrativních portálech .

Zneužití integrací třetích stran je další možností. Širší kontext zahrnuje LiteLLM útok na dodavatelský řetězec (březen 2026), kdy kompromitovaná open-source AI brána odhalila CI/CD přihlašovací údaje pro 2 488 organizací . Některé ze stejných firem se objevují i v sadě obětí TheHatman, ale přímá souvislost nebyla potvrzena.

Okamžitá rizika

I bez hesel nebo finančních dat umožňují ukradené adresáře zaměstnanců několik vysoce účinných útoků:

• Business Email Compromise (BEC): Díky organizačním schématům, řetězcům nadřízených a ověřeným firemním e-mailům mohou útočníci vydávat se za výkonné ředitele (CEO/CFO) a autorizovat podvodné bankovní převody nebo platby .
• Spear-phishing: Detailní pracovní pozice, oddělení a struktury reportingu umožňují vysoce cílené a přesvědčivé phishingové e-maily šité na míru konkrétním rolím .
• Eskalace oprávnění a laterální pohyb: Pokud ukradené přihlašovací údaje zahrnují globální administrátory Azure AD, mohli by útočníci měnit konfiguraci tenantů, vytvářet záložní účty nebo získat přístup k propojeným službám Microsoft 365, SharePointu a Teams .
• Krádež identity a sociální inženýrství: Kombinace osobních údajů a organizačního kontextu umožňuje vydávat se za zaměstnance v telefonátech nebo e-mailech na IT helpdesk s žádostí o reset hesla nebo změnu MFA zařízení.

Jak tato kampaň zapadá do trendů kybernetické kriminality v roce 2026

Kampaň TheHatman je příkladem strukturální změny v prostředí kybernetické kriminality, která se zrychlila v letech 2025–2026:

1. Ransomware ustupuje ve prospěch vydírání krádeží dat. Hroziví herci stále častěji úplně vynechávají šifrování. Nejprve data ukradnou a poté hrozí jejich zveřejněním nebo prodejem, pokud nedostanou zaplaceno. Je to rychlejší, tišší a vyhýbá se to provozní složitosti nasazení ransomwaru v síti .

2. Dominantní taktikou je cloudový kompromis přes přihlašovací údaje. Primárním vektorem útoku již nejsou zranitelnosti softwaru, ale kompromitace identity: infostealer malware a phishing ve velkém sbírají platné přihlašovací údaje, které útočníci pak používají k přímému přihlášení do cloudových portálů (Azure, AWS, ShareFile, Nextcloud) jako legitimní uživatelé . Postupy Zestixe a TheHatmana jsou téměř totožné.

3. Ekosystém živí brokeři počátečního přístupu (IAB). TheHatman zřejmě působí jako prodejce exfiltrovaných dat, podobně jako model IAB, kde se specializovaní herci zaměřují na přístup, nikoli na nasazení. Tato specializace snižuje bariéru vstupu pro méně zdatné zločince .

4. Amplifikace přes dodavatelský řetězec. Incident LiteLLM ukázal, jak jediný kompromis open-source AI nástroje může odhalit přihlašovací údaje tisíců navazujících firem . Útočníci nyní cílí na široce používané integrace třetích stran, aby maximalizovali dosah na oběti.

5. Adresáře zaměstnanců jako komodita. Místo kreditních karet nebo zdravotnických záznamů zpeněžují hroziví herci organizační metadata (jména, tituly, hierarchie), protože umožňují vysoce důvěryhodný sociální inženýring v masovém měřítku – hru s nižším rizikem a vysokou odměnou ve srovnání s tradiční krádeží dat .