מי נפגע

הקורבנות המתועדים משתרעים על פני מגזרי שירותי IT, אירוח, תקשורת, קמעונאות ולוגיסטיקה :

• מקדונלד'ס (McDonald's Corporation) — כ-1,700,000 רשומות ומעלה (ספריית עובדים מלאה)
• Tata Consultancy Services (TCS) — כ-800,000 רשומות ומעלה (TCS מסרה כי הנתונים נראים ישנים מארבע שנים, לא אושרה פריצה)
• וודאפון (Vodafone) — כ-425,000 רשומות ומעלה (ספריית עובדים מלאה)
• HCL Technologies — 250,000 רשומות ומעלה (HCL הכחישה, לא נמצאו ראיות לפריצה)
• Kyndryl — ספריית עובדים מלאה
• InterContinental Hotels Group (IHG) — ספריית עובדים
• Gap Inc. — ספריית עובדים
• Hexaware Technologies — ספריית עובדים
• Wyndham Hotels & Resorts — ספריית עובדים

הסתייגות חשובה: מספר קורבנות – TCS, HCLTech ואחרות – הצהירו בפומבי כי לא מצאו ראיות לפריצה ישירה למערכותיהן, ו-TCS ציינה כי הנתונים נראים ישנים מארבע שנים ומוגבלים למידע בסיסי על עובדים . ייתכן שהנתונים נאספו מדליפות ישנות, מחשיפות בסביבות שותפים או מנקודות גישה של צד שלישי, ולא מפריצה טרייה לכל אחד מ-Azure tenants של החברות.

מה מכילים הנתונים הגנובים

ספריות העובדים שהוצאו הן ייצוא סטנדרטי של Azure AD / Entra ID וכוללות בדרך כלל :

• שמות מלאים של עובדים
• כתובות דוא"ל ארגוניות
• מזהי עובדים/משתמשים
• תפקידים ושמות מחלקות
• שדות "דיווח למנהל" (manager reports-to)
• מספרי טלפון
• מידע על היררכיה ארגונית ומבני דיווח

המודעות כללו צילומי מסך מפורטל Azure / Entra ID כדי להוכיח את מקור הנתונים . עם זאת, הנתונים אינם כוללים מידע פיננסי על לקוחות, סיסמאות או מסמכים עסקיים מסווגים.

כיצד התוקפים חדרו: וקטורים אפשריים

למרות ש-Hudson Rock לא פרסמה ניתוח סיבתי מלא לקמפיין הספציפי הזה, העדויות ודפוסי פעולה מקבילים של איומים מצביעים על מספר וקטורים:

פרטי התחברות שנגנבו על ידי תוכנות גניבת מידע (infostealers) הוא הווקטור הסביר ביותר. תוכנות כמו Lumma, RedLine ו-Vidar אוספות פרטי התחברות המאוחסנים בדפדפנים, עוגיות סשן ואסימוני MFA. חקירה מקבילה של Hudson Rock על איום הסייבר "Zestix" הראתה שגניבת פרטי התחברות מדליפות infostealer הייתה שיטת החדירה העיקרית להוצאת נתונים מהענן, וכי ארגונים רבים חסרו אימות דו-שלבי בפורטלי הענן שלהם .

גניבת עוגיות סשן (session cookies) מאפשרת לתוקפים לעקוף לחלוטין את הזנת הסיסמה. תוכנות גניבת מידע לוכדות עוגיות סשן פעילות עבור Azure / Entra ID, ומאפשרות לתוקף להיכנס כמשתמש החוקי, לעיתים תוך עקיפת אימות דו-שלבי .

היעדר או חולשה של אימות דו-שלבי (MFA) נותר גורם קריטי. דו"ח של Hudson Rock מינואר 2026 מצא כי עשרות ארגונים סבלו מגניבת נתונים ממערכות ענן בדיוק משום שלא אכפו אימות דו-שלבי על פורטלי הניהול .

ניצול לרעה של אינטגרציות צד שלישי הוא אפשרות נוספת. בהקשר הרחב יותר, נכללת פרצת שרשרת האספקה של LiteLLM (מרץ 2026), שבה שער AI קוד פתוח שנפרץ חשף פרטי CI/CD עבור 2,488 ארגונים . חלק מהחברות מופיעות גם בקבוצת הקורבנות של TheHatman, אך קשר ישיר לא אושר.

סיכונים מיידיים

גם ללא סיסמאות או מידע פיננסי, ספריות העובדים הגנובות מאפשרות מספר התקפות בעלות השפעה גבוהה:

• פשרה בדוא"ל עסקי (BEC): בעזרת טבלאות ארגוניות, שרשורי מנהלים וכתובות דוא"ל ארגוניות מאומתות, תוקפים יכולים להתחזות לבכירים (מנכ"ל/סמנכ"ל כספים) כדי לאשר העברות בנקאיות או תשלומים מרמתיים .
• דיוג ממוקד (Spear-phishing): תארי משרה מפורטים, מחלקות ומבני דיווח מאפשרים שליחת מיילי דיוג משכנעים במיוחד המותאמים אישית לתפקידים ספציפיים .
• הרחבת הרשאות ותנועה רוחבית: אם פרטי ההתחברות הגנובים כוללים אלה של מנהלי Azure AD גלובליים, תוקפים יוכלו לשנות תצורות של tenants, ליצור חשבונות אחוריים, או לגשת לנתוני Microsoft 365, SharePoint ו-Teams .
• גניבת זהות והנדסה חברתית: השילוב של מידע אישי והקשר ארגוני מאפשר התחזות לעובדים בשיחות טלפון או מיילים למוקדי IT לצורך בקשת איפוס סיסמה או שינוי התקן MFA.

כיצד קמפיין זה משתלב במגמות פשעי הסייבר של 2026

קמפיין TheHatman מדגים שינוי מבני בנוף פשעי הסייבר שהאיץ במהלך 2025–2026:

1. כופרה (Ransomware) נמצאת בירידה לטובת סחיטה באמצעות גניבת נתונים. תוקפים מוותרים יותר ויותר על הצפנה. הם מוציאים נתונים תחילה, ואז מאיימים לפרסם או למכור אותם אלא אם ישלמו. שיטה זו מהירה, שקטה יותר ומונעת את המורכבות התפעולית של פריסת כופרה על פני רשת .

2. פשרה מבוססת פרטי התחברות לענן היא ה-TTP הדומיננטי. וקטור ההתקפה העיקרי אינו עוד ניצול חולשות תוכנה אלא פשרה של זהות: תוכנות גניבת מידע ודיויג אוספים פרטי התחברות תקפים בהיקף רחב, שבהם תוקפים משתמשים כדי להיכנס ישירות לפורטלי ענן (Azure, AWS, ShareFile, Nextcloud) כמשתמשים חוקיים . ספרי המשחקים של Zestix ו-TheHatman כמעט זהים.

3. מתווכי גישה ראשונית (IABs) מזינים את המערכת האקולוגית. TheHatman פועל כמוכר של נתונים שהוצאו, בדומה למודל IAB שבו שחקנים מתמחים מתמקדים בגישה, לא בפריסה. התמחות זו מורידה את חסם הכניסה לפושעים בהמשך השרשרת .

4. הגברת שרשרת האספקה. אירוע LiteLLM הראה כיצד פשרה יחידה של כלי AI קוד פתוח יכולה לחשוף פרטי התחברות עבור אלפי חברות במורד הזרם . תוקפים מכוונים כעת לאינטגרציות של צד שלישי בשימוש נרחב כדי למקסם את טווח הקורבנות.

5. ספריות עובדים כסחורה. במקום לכוון לכרטיסי אשראי או תיקים רפואיים, תוקפים ממנפים מטא-דאטה ארגוני (שמות, תפקידים, היררכיות) משום שהוא מאפשר הנדסה חברתית בביטחון גבוה בהיקף נרחב – משחק עם סיכון נמוך יותר ותגמול גבוה יותר בהשוואה לגניבת נתונים מסורתית .

מי נפגע

הקורבנות המתועדים משתרעים על פני מגזרי שירותי IT, אירוח, תקשורת, קמעונאות ולוגיסטיקה :

• מקדונלד'ס (McDonald's Corporation) — כ-1,700,000 רשומות ומעלה (ספריית עובדים מלאה)
• Tata Consultancy Services (TCS) — כ-800,000 רשומות ומעלה (TCS מסרה כי הנתונים נראים ישנים מארבע שנים, לא אושרה פריצה)
• וודאפון (Vodafone) — כ-425,000 רשומות ומעלה (ספריית עובדים מלאה)
• HCL Technologies — 250,000 רשומות ומעלה (HCL הכחישה, לא נמצאו ראיות לפריצה)
• Kyndryl — ספריית עובדים מלאה
• InterContinental Hotels Group (IHG) — ספריית עובדים
• Gap Inc. — ספריית עובדים
• Hexaware Technologies — ספריית עובדים
• Wyndham Hotels & Resorts — ספריית עובדים

הסתייגות חשובה: מספר קורבנות – TCS, HCLTech ואחרות – הצהירו בפומבי כי לא מצאו ראיות לפריצה ישירה למערכותיהן, ו-TCS ציינה כי הנתונים נראים ישנים מארבע שנים ומוגבלים למידע בסיסי על עובדים . ייתכן שהנתונים נאספו מדליפות ישנות, מחשיפות בסביבות שותפים או מנקודות גישה של צד שלישי, ולא מפריצה טרייה לכל אחד מ-Azure tenants של החברות.

מה מכילים הנתונים הגנובים

ספריות העובדים שהוצאו הן ייצוא סטנדרטי של Azure AD / Entra ID וכוללות בדרך כלל :

• שמות מלאים של עובדים
• כתובות דוא"ל ארגוניות
• מזהי עובדים/משתמשים
• תפקידים ושמות מחלקות
• שדות "דיווח למנהל" (manager reports-to)
• מספרי טלפון
• מידע על היררכיה ארגונית ומבני דיווח

המודעות כללו צילומי מסך מפורטל Azure / Entra ID כדי להוכיח את מקור הנתונים . עם זאת, הנתונים אינם כוללים מידע פיננסי על לקוחות, סיסמאות או מסמכים עסקיים מסווגים.

כיצד התוקפים חדרו: וקטורים אפשריים

למרות ש-Hudson Rock לא פרסמה ניתוח סיבתי מלא לקמפיין הספציפי הזה, העדויות ודפוסי פעולה מקבילים של איומים מצביעים על מספר וקטורים:

פרטי התחברות שנגנבו על ידי תוכנות גניבת מידע (infostealers) הוא הווקטור הסביר ביותר. תוכנות כמו Lumma, RedLine ו-Vidar אוספות פרטי התחברות המאוחסנים בדפדפנים, עוגיות סשן ואסימוני MFA. חקירה מקבילה של Hudson Rock על איום הסייבר "Zestix" הראתה שגניבת פרטי התחברות מדליפות infostealer הייתה שיטת החדירה העיקרית להוצאת נתונים מהענן, וכי ארגונים רבים חסרו אימות דו-שלבי בפורטלי הענן שלהם .

גניבת עוגיות סשן (session cookies) מאפשרת לתוקפים לעקוף לחלוטין את הזנת הסיסמה. תוכנות גניבת מידע לוכדות עוגיות סשן פעילות עבור Azure / Entra ID, ומאפשרות לתוקף להיכנס כמשתמש החוקי, לעיתים תוך עקיפת אימות דו-שלבי .

היעדר או חולשה של אימות דו-שלבי (MFA) נותר גורם קריטי. דו"ח של Hudson Rock מינואר 2026 מצא כי עשרות ארגונים סבלו מגניבת נתונים ממערכות ענן בדיוק משום שלא אכפו אימות דו-שלבי על פורטלי הניהול .

ניצול לרעה של אינטגרציות צד שלישי הוא אפשרות נוספת. בהקשר הרחב יותר, נכללת פרצת שרשרת האספקה של LiteLLM (מרץ 2026), שבה שער AI קוד פתוח שנפרץ חשף פרטי CI/CD עבור 2,488 ארגונים . חלק מהחברות מופיעות גם בקבוצת הקורבנות של TheHatman, אך קשר ישיר לא אושר.

סיכונים מיידיים

גם ללא סיסמאות או מידע פיננסי, ספריות העובדים הגנובות מאפשרות מספר התקפות בעלות השפעה גבוהה:

• פשרה בדוא"ל עסקי (BEC): בעזרת טבלאות ארגוניות, שרשורי מנהלים וכתובות דוא"ל ארגוניות מאומתות, תוקפים יכולים להתחזות לבכירים (מנכ"ל/סמנכ"ל כספים) כדי לאשר העברות בנקאיות או תשלומים מרמתיים .
• דיוג ממוקד (Spear-phishing): תארי משרה מפורטים, מחלקות ומבני דיווח מאפשרים שליחת מיילי דיוג משכנעים במיוחד המותאמים אישית לתפקידים ספציפיים .
• הרחבת הרשאות ותנועה רוחבית: אם פרטי ההתחברות הגנובים כוללים אלה של מנהלי Azure AD גלובליים, תוקפים יוכלו לשנות תצורות של tenants, ליצור חשבונות אחוריים, או לגשת לנתוני Microsoft 365, SharePoint ו-Teams .
• גניבת זהות והנדסה חברתית: השילוב של מידע אישי והקשר ארגוני מאפשר התחזות לעובדים בשיחות טלפון או מיילים למוקדי IT לצורך בקשת איפוס סיסמה או שינוי התקן MFA.

כיצד קמפיין זה משתלב במגמות פשעי הסייבר של 2026

קמפיין TheHatman מדגים שינוי מבני בנוף פשעי הסייבר שהאיץ במהלך 2025–2026:

1. כופרה (Ransomware) נמצאת בירידה לטובת סחיטה באמצעות גניבת נתונים. תוקפים מוותרים יותר ויותר על הצפנה. הם מוציאים נתונים תחילה, ואז מאיימים לפרסם או למכור אותם אלא אם ישלמו. שיטה זו מהירה, שקטה יותר ומונעת את המורכבות התפעולית של פריסת כופרה על פני רשת .

2. פשרה מבוססת פרטי התחברות לענן היא ה-TTP הדומיננטי. וקטור ההתקפה העיקרי אינו עוד ניצול חולשות תוכנה אלא פשרה של זהות: תוכנות גניבת מידע ודיויג אוספים פרטי התחברות תקפים בהיקף רחב, שבהם תוקפים משתמשים כדי להיכנס ישירות לפורטלי ענן (Azure, AWS, ShareFile, Nextcloud) כמשתמשים חוקיים . ספרי המשחקים של Zestix ו-TheHatman כמעט זהים.

3. מתווכי גישה ראשונית (IABs) מזינים את המערכת האקולוגית. TheHatman פועל כמוכר של נתונים שהוצאו, בדומה למודל IAB שבו שחקנים מתמחים מתמקדים בגישה, לא בפריסה. התמחות זו מורידה את חסם הכניסה לפושעים בהמשך השרשרת .

4. הגברת שרשרת האספקה. אירוע LiteLLM הראה כיצד פשרה יחידה של כלי AI קוד פתוח יכולה לחשוף פרטי התחברות עבור אלפי חברות במורד הזרם . תוקפים מכוונים כעת לאינטגרציות של צד שלישי בשימוש נרחב כדי למקסם את טווח הקורבנות.

5. ספריות עובדים כסחורה. במקום לכוון לכרטיסי אשראי או תיקים רפואיים, תוקפים ממנפים מטא-דאטה ארגוני (שמות, תפקידים, היררכיות) משום שהוא מאפשר הנדסה חברתית בביטחון גבוה בהיקף נרחב – משחק עם סיכון נמוך יותר ותגמול גבוה יותר בהשוואה לגניבת נתונים מסורתית .