TheHatman iski Azure-pilveen: 1,4 miljoonaa työntekijätietuetta myynnissä pimeässä verkossa

• McDonald's Corporation — noin 1 700 000+ tietuetta (koko työntekijähakemisto)
• Tata Consultancy Services (TCS) — noin 800 000+ tietuetta (TCS:n mukaan tiedot ovat yli neljä vuotta vanhoja, murtoa ei vahvistettu)
• Vodafone — noin 425 000+ tietuetta (koko työntekijähakemisto)
• HCL Technologies — 250 000+ tietuetta (HCL kiisti löytäneensä todisteita tietomurrosta)
• Kyndryl — koko työntekijähakemisto
• InterContinental Hotels Group (IHG) — työntekijähakemisto
• Gap Inc. — työntekijähakemisto
• Hexaware Technologies — työntekijähakemisto
• Wyndham Hotels & Resorts — työntekijähakemisto

Tärkeä huomio: Useat yritykset, kuten TCS ja HCLTech, ilmoittivat julkisesti, etteivät ne löytäneet todisteita suorasta tietomurrosta omissa järjestelmissään. TCS totesi tietojen olevan yli neljä vuotta vanhoja ja rajoittuvan perustyöntekijätietoihin . Tämä viittaa siihen, että tiedot on saatettu koota vanhoista vuodoista, kumppaniympäristöjen altistumisista tai kolmannen osapuolen pääsypisteistä, eikä kyse ole tuoreesta murtautumisesta kunkin yrityksen Azure-ympäristöön.

Mitä varastetut tiedot sisältävät

Viedyt hakemistot ovat tavanomaisia Azure AD / Entra ID -työntekijävieintejä, ja ne sisältävät tyypillisesti :

• Työntekijöiden koko nimet
• Yrityssähköpostiosoitteet
• Työntekijä- tai käyttäjätunnukset
• Tehtävänimikkeet ja osastot
• Esimies-raportointisuhteet
• Puhelinnumerot
• Organisaatiohierarkia ja raportointirakenteet

Ilmoituksissa oli erityisesti kuvakaappauksia Azure / Entra ID -portaalista todistamaan tietojen alkuperä . Tiedot eivät sisällä asiakkaiden taloustietoja, salasanoja tai luottamuksellisia asiakirjoja.

Miten hyökkääjät pääsivät sisään: Mahdolliset tietoturva-aukot

Vaikka Hudson Rock ei ole julkaissut lopullista juurisyyanalyysiä tästä kampanjasta, todisteet ja vastaavat uhkaajamallit viittaavat useisiin vektoreihin:

Infostealer-haittaohjelmilla varastetut tunnistetiedot ovat todennäköisin ensisijainen vektori. Infostealerit, kuten Lumma, RedLine ja Vidar, keräävät selaimen tallentamia tunnistetietoja, evästetietoja ja MFA-tokeneita. Rinnakkaisessa Hudson Rockin tutkimuksessa uhkaaja Zestixistä todettiin, että juuri tunnistetietojen varastaminen infostealer-lokeista oli ensisijainen menetelmä pilvitietojen viemisessä, ja monilta yrityksiltä puuttui MFA pilviportaaleistaan .

Evästetietojen varastaminen mahdollistaa salasanojen ohittamisen. Infostealerit tallentavat aktiivisia evästetietoja Azure / Entra ID:hen, jolloin hyökkääjä pystyy kirjautumaan uhrikäyttäjänä ja mahdollisesti kiertämään MFA:n .

Heikko tai puuttuva MFA on keskeinen mahdollistaja. Tammikuussa 2026 julkaistussa Hudson Rockin raportissa todettiin, että kymmeniltä organisaatioilta varastettiin tietoja pilvijärjestelmistä, koska ne eivät olleet ottaneet käyttöön MFA:ta hallintaportaaleissa .

Kolmannen osapuolen integraatioiden väärinkäyttö on toinen mahdollisuus. Laajempi konteksti sisältää LiteLLM-toimitusketjuhyökkäyksen (maaliskuu 2026), jossa kompromisoitu avoimen lähdekoodin AI-yhdyskäytävä paljasti CI/CD-tunnistetiedot 2 488 organisaatiolle . Jotkut samoista yrityksistä esiintyvät TheHatmanin uhrijoukossa, mutta suoraa yhteyttä ei ole vahvistettu.

Välittömät riskit

Vaikka varastetut tiedot eivät sisällä salasanoja tai taloustietoja, ne mahdollistavat useita vaarallisia hyökkäyksiä:

• Business Email Compromise (BEC): Organisaatiokaavioiden, esimiesketjujen ja vahvistettujen yrityssähköpostien avulla hyökkääjä voi esiintyä johtajana (toimitusjohtaja/talousjohtaja) ja valtuuttaa vilpillisiä rahasiirtoja tai maksuja .
• Kohdennetut tietojenkalasteluhyökkäykset: Yksityiskohtaiset tehtävänimikkeet, osastot ja raportointirakenteet mahdollistavat erittäin vakuuttavien, roolikohtaisten tietojenkalasteluviestien laatimisen .
• Oikeuksien korottaminen ja lateraalinen liikkuminen: Jos varastetut tunnistetiedot sisältävät Azure AD:n ylläpitäjätunnukset, hyökkääjä voisi muokata vuokralaiskokoonpanoja, luoda takaoven tai päästä käsiksi Microsoft 365 -palveluihin, SharePointiin ja Teamsiin .
• Identiteettivarkaus ja sosiaalinen manipulointi: Henkilötietojen ja organisaatiokontekstin yhdistelmä mahdollistaa työntekijänä esiintymisen IT-tukipalveluun soitettaessa tai sähköpostitse, jotta voidaan pyytää salasanojen nollausta tai MFA-laitteen vaihtoa.

Miten tämä kampanja sopii vuoden 2026 kyberrikollisuustrendeihin

TheHatman-kampanja on esimerkki rakenteellisesta muutoksesta kyberrikollisuudessa, joka kiihtyi vuosina 2025–2026:

1. Lunnasohjelmien käyttö vähenee, ja tilalle tulee tietovarkauskiristys. Uhkaajat jättävät salaamisen yhä useammin väliin. He varastavat tiedot ensin ja uhkaavat julkaista tai myydä ne, ellei heille makseta. Tämä on nopeampaa, hiljaisempaa ja välttää lunnasohjelmien levittämiseen liittyvän monimutkaisuuden .

2. Tunnistetietoihin perustuva pilvimurto on hallitseva taktiikka. Ensisijainen hyökkäysvektori ei ole enää ohjelmistoaukkojen hyödyntäminen vaan identiteetin kompromettointi: infostealer-haittaohjelmat ja tietojenkalastelu keräävät kelvollisia tunnistetietoja, joita hyökkääjät käyttävät kirjautuakseen suoraan pilviportaaleihin (Azure, AWS, ShareFile, Nextcloud) laillisina käyttäjinä . Zestixin ja TheHatmanin toimintamallit ovat lähes identtisiä.

3. Alkupääsyn välittäjät (IAB) ruokkivat ekosysteemiä. TheHatman näyttää toimivan varastetun tiedon myyjänä, mikä muistuttaa IAB-mallia, jossa erikoistuneet toimijat keskittyvät pääsyyn, eivät itse hyökkäykseen. Tämä erikoistuminen laskee kynnystä seuraaville rikollisille .

4. Toimitusketjun vahvistus. LiteLLM-tapaus osoitti, miten yhden avoimen lähdekoodin työkalun kompromettointi saattoi paljastaa tunnistetiedot tuhansille yrityksille . Hyökkääjät kohdistavat nyt laajalti käytettyihin kolmannen osapuolen integraatioihin maksimoidakseen uhrien määrän.

5. Työntekijähakemistoista on tullut hyödyke. Sen sijaan, että hyökkääjät tavoittelisivat luottokortteja tai potilastietoja, he rahastavat organisaatioiden metatiedolla (nimet, tittelit, hierarkiat), koska se mahdollistaa laajamittaisen, luottamusta herättävän sosiaalisen manipuloinnin – pienempi riski ja korkeampi tuotto verrattuna perinteiseen tietovarkauteen .