Mehrere betroffene Unternehmen, darunter TCS und HCLTech, widersprachen den Behauptungen.
Die Kampagne passt in den Trend der Cyberkriminalität 2026: Angreifer verzichten zunehmend auf Ransomware Verschlüsselung und setzen stattdessen auf reine Datendiebstahl Erpressung.
What was the large-scale Azure exfiltration campaign conducted by a threat actor called "TheHatman" that resulted in millions of internal emConceptual image of the TheHatman Azure exfiltration campaign, where compromised credentials were used to steal over 1.4 million employee records from corporate Azure/Entra ID tenants.
KI-Prompt
Create a landscape editorial hero image for this Studio Global article: What was the large-scale Azure exfiltration campaign conducted by a threat actor called "TheHatman" that resulted in millions of internal em. Article summary: Here is a comprehensive breakdown of the campaign based on Hudson Rock's analysis and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, n
openai.com
Ein Threat Actor mit dem Alias „TheHatman“ hat systematisch interne Mitarbeiterverzeichnisse von mindestens neun Fortune-500-Unternehmen zum Verkauf angeboten. Er behauptet, die Daten direkt aus den Microsoft-Azure-/Entra-ID-Portalen (ehemals Azure AD) der betroffenen Firmen heruntergeladen zu haben – und zwar mithilfe kompromittierter Zugangsdaten . Zwischen dem 1. und 10. August 2026 erschienen sechs Anzeigen auf dem Untergrundforum BreachForums, die angeblich insgesamt mehr als 1,4 Millionen Datensätze umfassten . Forscher von Hudson Rock überprüften Stichproben und bewerteten sie als glaubwürdig, da die Unternehmens-E-Mail-Domains und Feldstrukturen exakt mit standardmäßigen Azure-Verzeichnisexporten übereinstimmten .
Wer war betroffen?
Die genannten Opfer stammen aus den Bereichen IT-Dienstleistungen, Gastgewerbe, Telekommunikation, Einzelhandel und Logistik :
Studio Global AI
Setzen Sie Ihre Recherche fort
Diese Seite enthält eine quellengestützte Antwort, die Sie in Studio Global fortsetzen können.
Wie lautet die kurze Antwort auf „Groß angelegte Azure-Exfiltration: Angreifer „TheHatman“ erbeutet 1,4 Millionen Mitarbeiterdatensätze“?
Zwischen dem 1. und 10.
Was sind die wichtigsten Punkte, die zuerst validiert werden müssen?
Zwischen dem 1. und 10. Mehrere betroffene Unternehmen, darunter TCS und HCLTech, widersprachen den Behauptungen.
Was soll ich als nächstes in der Praxis tun?
Die Kampagne passt in den Trend der Cyberkriminalität 2026: Angreifer verzichten zunehmend auf Ransomware Verschlüsselung und setzen stattdessen auf reine Datendiebstahl Erpressung.
McDonald's Corporation – rund 1.700.000+ Datensätze (vollständiges Mitarbeiterverzeichnis)
Tata Consultancy Services (TCS) – rund 800.000+ Datensätze (TCS gab an, die Daten seien über vier Jahre alt; kein Einbruch bestätigt)
Vodafone – rund 425.000+ Datensätze (vollständiges Mitarbeiterverzeichnis)
HCL Technologies – 250.000+ Datensätze (HCL widersprach, fand keine Hinweise auf einen Einbruch)
Kyndryl – vollständiges Mitarbeiterverzeichnis
InterContinental Hotels Group (IHG) – Mitarbeiterverzeichnis
Gap Inc. – Mitarbeiterverzeichnis
Hexaware Technologies – Mitarbeiterverzeichnis
Wyndham Hotels & Resorts – Mitarbeiterverzeichnis
Wichtiger Hinweis: Mehrere Opfer – TCS, HCLTech und andere – erklärten öffentlich, sie hätten keine Beweise für einen direkten Einbruch in ihre eigenen Systeme gefunden. TCS merkte an, die Daten seien offenbar über vier Jahre alt und auf grundlegende Mitarbeiterinformationen beschränkt . Dies deutet darauf hin, dass die Daten möglicherweise aus älteren Leaks, Partnerumgebungen oder dem Zugriff über Dritte stammen – nicht aus einem frischen Angriff auf den jeweiligen Azure-Mandanten.
Was die gestohlenen Daten enthalten
Bei den exfiltrierten Verzeichnissen handelt es sich um standardmäßige Azure-AD-/Entra-ID-Mitarbeiterexporte. Sie enthalten in der Regel :
Vollständige Namen der Mitarbeiter
Geschäftliche E-Mail-Adressen
Mitarbeiter-/Benutzer-IDs
Jobtitel und Abteilungsnamen
Vorgesetzten- und Berichtsstrukturen
Telefonnummern
Organisationshierarchie und Berichtsstrukturdaten
Die Angebote enthielten speziell Screenshots des Azure-/Entra-ID-Portals, um die Herkunft der Daten zu belegen . Wichtig: Die Daten scheinen keine Kundenfinanzinformationen, Passwörter oder klassifizierte Geschäftsunterlagen zu enthalten.
Wie die Angreifer eindrangen: Mögliche Vektoren
Hudson Rock hat zwar keine endgültige Ursachenanalyse für diese spezielle Kampagne veröffentlicht, doch die Beweise und parallele Muster von Threat Actors deuten auf mehrere Vektoren hin:
Kompromittierte Zugangsdaten durch Infostealer-Malware ist der wahrscheinlichste primäre Vektor. Infostealer wie Lumma, RedLine und Vidar sammeln im Browser gespeicherte Anmeldedaten, Sitzungscookies und MFA-Token. Eine parallele Hudson-Rock-Untersuchung zum Threat Actor „Zestix“ zeigte, dass der Diebstahl von Anmeldedaten aus Infostealer-Protokollen die primäre Einstiegsmethode für Cloud-Datenexfiltration war. Viele Unternehmen hatten keine MFA für ihre Cloud-Portale eingerichtet .
Diebstahl von Sitzungscookies ermöglicht es Angreifern, die Passworteingabe vollständig zu umgehen. Infostealer erfassen aktive Sitzungscookies für Azure/Entra-ID, sodass Angreifer sich als der betroffene Benutzer authentifizieren können – manchmal unter Umgehung von MFA .
Schwache oder fehlende MFA bleibt ein entscheidender Faktor. Ein Bericht von Hudson Rock vom Januar 2026 ergab, dass Dutzende von Organisationen Daten aus Cloud-Systemen gestohlen wurden, weil sie MFA für Verwaltungsportale nicht durchgesetzt hatten .
Missbrauch von Drittanbieter-Integrationen ist eine weitere Möglichkeit. Der weitere Kontext umfasst die LiteLLM-Lieferkettenverletzung (März 2026), bei der ein kompromittiertes Open-Source-KI-Gateway CI/CD-Anmeldedaten für 2.488 Organisationen offenlegte . Einige der gleichen Firmen erscheinen im Opferkreis von TheHatman, ein direkter Zusammenhang wurde jedoch nicht bestätigt.
Unmittelbare Risiken
Auch ohne Passwörter oder Finanzdaten ermöglichen die gestohlenen Mitarbeiterverzeichnisse mehrere wirkungsvolle Angriffe:
Geschäftliche E-Mail-Kompromittierung (BEC): Mit Organigrammen, Vorgesetztenketten und verifizierten geschäftlichen E-Mail-Adressen können Angreifer Führungskräfte (CEO/CFO) imitieren, um betrügerische Überweisungen oder Zahlungen zu autorisieren .
Spear-Phishing: Detaillierte Jobtitel, Abteilungen und Berichtsstrukturen ermöglichen hochgradig zielgerichtete, überzeugende Phishing-E-Mails, die auf bestimmte Rollen zugeschnitten sind .
Rechteausweitung und laterale Bewegung: Wenn die gestohlenen Anmeldedaten die von Azure-AD-Globaladministratoren umfassen, könnten Angreifer Mandantenkonfigurationen ändern, Hintertürkonten erstellen oder auf verbundene Microsoft-365-Dienste, SharePoint- und Teams-Daten zugreifen .
Identitätsdiebstahl und Social Engineering: Die Kombination von personenbezogenen Daten und organisatorischem Kontext ermöglicht die Nachahmung von Mitarbeitern in Anrufen oder E-Mails an IT-Helpdesks, um Passwortzurücksetzungen oder MFA-Geräteänderungen zu beantragen.
Wie diese Kampagne in die Trends der Cyberkriminalität 2026 passt
Die TheHatman-Kampagne ist ein Paradebeispiel für einen strukturellen Wandel in der Cyberkriminalität, der sich in den Jahren 2025–2026 beschleunigt hat:
1. Ransomware geht zugunsten von Datendiebstahl-Erpressung zurück. Bedrohungsakteure verzichten zunehmend ganz auf Verschlüsselung. Sie extrahieren zuerst Daten und drohen dann mit der Veröffentlichung oder dem Verkauf, wenn nicht gezahlt wird. Dies ist schneller, leiser und vermeidet die operative Komplexität der Bereitstellung von Ransomware in einem Netzwerk .
2. Identitätsbasierte Cloud-Kompromittierung ist die dominierende TTP. Der primäre Angriffsvektor sind nicht mehr Software-Exploits, sondern Identitätskompromittierung: Infostealer-Malware und Phishing sammeln in großem Umfang gültige Anmeldedaten, die Angreifer dann verwenden, um sich direkt bei Cloud-Portalen (Azure, AWS, ShareFile, Nextcloud) als legitime Benutzer anzumelden . Die Playbooks von Zestix und TheHatman sind nahezu identisch.
3. Initial Access Broker (IABs) speisen das Ökosystem. TheHatman scheint als Verkäufer exfiltrierter Daten zu agieren, ähnlich dem IAB-Modell, bei dem sich spezialisierte Akteure auf den Zugang konzentrieren, nicht auf die Bereitstellung. Diese Spezialisierung senkt die Eintrittsbarriere für nachgelagerte Kriminelle .
4. Verstärkung durch Lieferketten. Der LiteLLM-Vorfall zeigte, wie eine einzige Kompromittierung eines Open-Source-KI-Tools die Anmeldedaten für Tausende von nachgelagerten Firmen offenlegen konnte . Angreifer zielen nun auf weit verbreitete Drittanbieterintegrationen ab, um die Opferreichweite zu maximieren.
5. Mitarbeiterverzeichnisse als Ware. Anstatt auf Kreditkarten oder Krankenakten abzuzielen, monetarisieren Bedrohungsakteure organisatorische Metadaten (Namen, Titel, Hierarchien), da diese eine hochsichere Social-Engineering-Angriffe in großem Maßstab ermöglichen – ein risikoärmeres, aber ertragreiches Spiel im Vergleich zum traditionellen Datendiebstahl .
