प्रभावित कंपनियां

ये कंपनियां आईटी सर्विसेज, हॉस्पिटैलिटी, टेलीकॉम, रिटेल और लॉजिस्टिक्स सेक्टर से हैं :

• McDonald's Corporation - लगभग 1,700,000+ रिकॉर्ड (पूरी कर्मचारी निर्देशिका)
• Tata Consultancy Services (TCS) - लगभग 800,000+ रिकॉर्ड (TCS का कहना है कि डेटा चार साल से अधिक पुराना लगता है, सेंध की कोई पुष्टि नहीं)
• Vodafone - लगभग 425,000+ रिकॉर्ड (पूरी कर्मचारी निर्देशिका)
• HCL Technologies - 250,000+ रिकॉर्ड (HCL ने इसका खंडन करते हुए सेंध का कोई सबूत नहीं पाया)
• Kyndryl - पूरी कर्मचारी निर्देशिका
• InterContinental Hotels Group (IHG) - कर्मचारी निर्देशिका
• Gap Inc. - कर्मचारी निर्देशिका
• Hexaware Technologies - कर्मचारी निर्देशिका
• Wyndham Hotels & Resorts - कर्मचारी निर्देशिका

महत्वपूर्ण बात: कई पीड़ित कंपनियों (TCS, HCLTech) ने सार्वजनिक रूप से कहा कि उन्हें अपने सिस्टम में सीधी सेंध का कोई सबूत नहीं मिला। TCS ने कहा कि डेटा चार साल से अधिक पुराना लगता है और केवल बुनियादी कर्मचारी जानकारी तक सीमित है । इससे संकेत मिलता है कि डेटा पुराने लीक, पार्टनर एनवायरनमेंट एक्सपोज़र, या तीसरे पक्ष के एक्सेस पॉइंट से इकट्ठा किया गया हो सकता है, न कि प्रत्येक कंपनी के Azure टेनेंट में नई सेंध से।

चुराए गए डेटा में क्या है?

चुराए गए डेटा मानक Azure AD/Entra ID कर्मचारी एक्सपोर्ट हैं, जिनमें आमतौर पर शामिल होते हैं :

• कर्मचारियों के पूरे नाम
• कॉर्पोरेट ईमेल पते
• कर्मचारी/यूज़र आईडी
• नौकरी के शीर्षक और विभाग के नाम
• मैनेजर रिपोर्ट-टू फील्ड
• फ़ोन नंबर
• संगठनात्मक पदानुक्रम और रिपोर्टिंग संरचना का डेटा

लिस्टिंग में डेटा की उत्पत्ति साबित करने के लिए विशेष रूप से Azure/Entra ID पोर्टल के स्क्रीनशॉट शामिल थे । ध्यान देने वाली बात है कि इस डेटा में ग्राहकों की वित्तीय जानकारी, पासवर्ड या वर्गीकृत व्यावसायिक दस्तावेज़ शामिल नहीं हैं।

हमलावर कैसे अंदर घुसे: संभावित तरीके

हालांकि Hudson Rock ने इस विशेष अभियान का कोई निश्चित विश्लेषण प्रकाशित नहीं किया है, लेकिन सबूत और समानांतर पैटर्न कई तरीकों की ओर इशारा करते हैं:

इन्फोस्टीलर मैलवेयर से चुराए गए क्रेडेंशियल्स सबसे संभावित तरीका है। Lumma, RedLine और Vidar जैसे इन्फोस्टीलर ब्राउज़र में सेव क्रेडेंशियल्स, सत्र कुकीज़ और MFA टोकन चुरा लेते हैं। Hudson Rock की 'Zestix' हैकर पर एक समानांतर जांच में पाया गया कि क्लाउड डेटा चोरी का मुख्य तरीका इन्फोस्टीलर लॉग से क्रेडेंशियल चोरी था, क्योंकि कई कंपनियों ने अपने क्लाउड पोर्टल्स पर MFA लागू नहीं किया था ।

सत्र कुकी चोरी अटैकर्स को पासवर्ड डाले बिना लॉग इन करने देती है। इन्फोस्टीलर Azure/Entra ID के लिए एक्टिव सत्र कुकीज़ कैप्चर करते हैं, जिससे अटैकर पीड़ित यूज़र के रूप में प्रमाणित हो सकते हैं, कभी-कभी MFA को बायपास करते हुए ।

कमजोर या अनुपस्थित MFA एक महत्वपूर्ण कारण बनी हुई है। जनवरी 2026 की Hudson Rock की एक रिपोर्ट में पाया गया कि दर्जनों संगठनों का डेटा क्लाउड सिस्टम से इसलिए चोरी हुआ क्योंकि उन्होंने एडमिनिस्ट्रेटिव पोर्टल्स पर MFA लागू नहीं किया था ।

तीसरे पक्ष के इंटीग्रेशन का दुरुपयोग एक और संभावना है। व्यापक संदर्भ में LiteLLM सप्लाई-चेन ब्रीच (मार्च 2026) शामिल है, जहां एक समझौता किए गए ओपन-सोर्स AI गेटवे ने 2,488 संगठनों के CI/CD क्रेडेंशियल्स का खुलासा किया था । TheHatman के लक्ष्यों में से कुछ वही कंपनियां हैं, हालांकि सीधा संबंध स्थापित नहीं हुआ है।

तत्काल जोखिम

पासवर्ड या वित्तीय डेटा न होने के बावजूद, चुराए गए कर्मचारी निर्देशिकाएं कई हाई-इम्पैक्ट हमलों को सक्षम बनाती हैं:

• बिजनेस ईमेल कॉम्प्रोमाइज (BEC): ऑर्गनाइजेशनल चार्ट और मैनेजर चेन के साथ, अटैकर कार्यकारी अधिकारियों (CEO/CFO) का रूप धारण कर फर्जी फंड ट्रांसफर या भुगतान अधिकृत कर सकते हैं ।
• स्पीयर-फिशिंग: विस्तृत नौकरी शीर्षक और रिपोर्टिंग संरचनाएं विशिष्ट भूमिकाओं के अनुरूप अत्यधिक लक्षित, विश्वसनीय फिशिंग ईमेल बनाने में सक्षम बनाती हैं ।
• विशेषाधिकार वृद्धि और पार्श्व आवाजाही (Lateral Movement): यदि चुराए गए क्रेडेंशियल्स में Azure AD ग्लोबल एडमिनिस्ट्रेटर शामिल हैं, तो अटैकर टेनेंट कॉन्फ़िगरेशन बदल सकते हैं, बैकडोर अकाउंट बना सकते हैं, या कनेक्टेड Microsoft 365 सेवाओं तक पहुंच सकते हैं ।
• पहचान की चोरी और सोशल इंजीनियरिंग: PII और संगठनात्मक संदर्भ के संयोजन से कर्मचारियों की नकल कर IT हेल्प डेस्क पर पासवर्ड रीसेट या MFA डिवाइस बदलने का अनुरोध किया जा सकता है।

यह अभियान 2026 के साइबर क्राइम ट्रेंड्स में कैसे फिट बैठता है?

TheHatman अभियान 2025-2026 में तेज हुए साइबर क्राइम परिदृश्य में एक संरचनात्मक बदलाव का उदाहरण है:

1. रैनसमवेयर के बजाय डेटा-चोरी जबरन वसूली बढ़ रही है। थ्रेट एक्टर्स तेजी से एन्क्रिप्शन को छोड़ रहे हैं। वे पहले डेटा चुराते हैं, फिर भुगतान न होने पर प्रकाशित करने या बेचने की धमकी देते हैं। यह तेज़, शांत और नेटवर्क पर रैनसमवेयर तैनात करने की जटिलता से बचाता है ।

2. क्रेडेंशियल-सक्षम क्लाउड कॉम्प्रोमाइज प्रमुख TTP है। मुख्य हमला वेक्टर अब सॉफ्टवेयर एक्सप्लॉइट नहीं बल्कि पहचान समझौता (Identity Compromise) है: इन्फोस्टीलर मैलवेयर और फिशिंग बड़े पैमाने पर वैध क्रेडेंशियल्स इकट्ठा करते हैं, जिनका उपयोग अटैकर वैध उपयोगकर्ताओं के रूप में सीधे क्लाउड पोर्टल्स में लॉग इन करने के लिए करते हैं ।

3. इनिशियल एक्सेस ब्रोकर्स (IABs) पारिस्थितिकी तंत्र को बढ़ावा देते हैं। TheHatman एक्सफ़िल्ट्रेटेड डेटा के विक्रेता के रूप में काम करता है, जो IAB मॉडल के समान है जहां विशिष्ट अभिनेता केवल एक्सेस पर ध्यान केंद्रित करते हैं, तैनाती पर नहीं। यह विशेषज्ञता आपराधिक गतिविधियों में प्रवेश की बाधा को कम करती है ।

4. आपूर्ति श्रृंखला प्रवर्धन। LiteLLM घटना ने दिखाया कि कैसे एक ओपन-सोर्स AI टूल से समझौता हजारों कंपनियों के क्रेडेंशियल्स को उजागर कर सकता है । अटैकर्स अब पीड़ितों की संख्या अधिकतम करने के लिए व्यापक रूप से उपयोग किए जाने वाले तीसरे पक्ष के इंटीग्रेशन को लक्षित करते हैं।

5. कर्मचारी निर्देशिकाएं एक वस्तु बन रही हैं। क्रेडिट कार्ड या मेडिकल रिकॉर्ड के बजाय, थ्रेट एक्टर्स संगठनात्मक मेटाडेटा (नाम, शीर्षक, पदानुक्रम) का मुद्रीकरण कर रहे हैं क्योंकि यह पारंपरिक डेटा चोरी की तुलना में कम जोखिम और उच्च लाभ वाला सोशल इंजीनियरिंग प्ले है ।

प्रभावित कंपनियां

ये कंपनियां आईटी सर्विसेज, हॉस्पिटैलिटी, टेलीकॉम, रिटेल और लॉजिस्टिक्स सेक्टर से हैं :

• McDonald's Corporation - लगभग 1,700,000+ रिकॉर्ड (पूरी कर्मचारी निर्देशिका)
• Tata Consultancy Services (TCS) - लगभग 800,000+ रिकॉर्ड (TCS का कहना है कि डेटा चार साल से अधिक पुराना लगता है, सेंध की कोई पुष्टि नहीं)
• Vodafone - लगभग 425,000+ रिकॉर्ड (पूरी कर्मचारी निर्देशिका)
• HCL Technologies - 250,000+ रिकॉर्ड (HCL ने इसका खंडन करते हुए सेंध का कोई सबूत नहीं पाया)
• Kyndryl - पूरी कर्मचारी निर्देशिका
• InterContinental Hotels Group (IHG) - कर्मचारी निर्देशिका
• Gap Inc. - कर्मचारी निर्देशिका
• Hexaware Technologies - कर्मचारी निर्देशिका
• Wyndham Hotels & Resorts - कर्मचारी निर्देशिका

महत्वपूर्ण बात: कई पीड़ित कंपनियों (TCS, HCLTech) ने सार्वजनिक रूप से कहा कि उन्हें अपने सिस्टम में सीधी सेंध का कोई सबूत नहीं मिला। TCS ने कहा कि डेटा चार साल से अधिक पुराना लगता है और केवल बुनियादी कर्मचारी जानकारी तक सीमित है । इससे संकेत मिलता है कि डेटा पुराने लीक, पार्टनर एनवायरनमेंट एक्सपोज़र, या तीसरे पक्ष के एक्सेस पॉइंट से इकट्ठा किया गया हो सकता है, न कि प्रत्येक कंपनी के Azure टेनेंट में नई सेंध से।

चुराए गए डेटा में क्या है?

चुराए गए डेटा मानक Azure AD/Entra ID कर्मचारी एक्सपोर्ट हैं, जिनमें आमतौर पर शामिल होते हैं :

• कर्मचारियों के पूरे नाम
• कॉर्पोरेट ईमेल पते
• कर्मचारी/यूज़र आईडी
• नौकरी के शीर्षक और विभाग के नाम
• मैनेजर रिपोर्ट-टू फील्ड
• फ़ोन नंबर
• संगठनात्मक पदानुक्रम और रिपोर्टिंग संरचना का डेटा

लिस्टिंग में डेटा की उत्पत्ति साबित करने के लिए विशेष रूप से Azure/Entra ID पोर्टल के स्क्रीनशॉट शामिल थे । ध्यान देने वाली बात है कि इस डेटा में ग्राहकों की वित्तीय जानकारी, पासवर्ड या वर्गीकृत व्यावसायिक दस्तावेज़ शामिल नहीं हैं।

हमलावर कैसे अंदर घुसे: संभावित तरीके

हालांकि Hudson Rock ने इस विशेष अभियान का कोई निश्चित विश्लेषण प्रकाशित नहीं किया है, लेकिन सबूत और समानांतर पैटर्न कई तरीकों की ओर इशारा करते हैं:

इन्फोस्टीलर मैलवेयर से चुराए गए क्रेडेंशियल्स सबसे संभावित तरीका है। Lumma, RedLine और Vidar जैसे इन्फोस्टीलर ब्राउज़र में सेव क्रेडेंशियल्स, सत्र कुकीज़ और MFA टोकन चुरा लेते हैं। Hudson Rock की 'Zestix' हैकर पर एक समानांतर जांच में पाया गया कि क्लाउड डेटा चोरी का मुख्य तरीका इन्फोस्टीलर लॉग से क्रेडेंशियल चोरी था, क्योंकि कई कंपनियों ने अपने क्लाउड पोर्टल्स पर MFA लागू नहीं किया था ।

सत्र कुकी चोरी अटैकर्स को पासवर्ड डाले बिना लॉग इन करने देती है। इन्फोस्टीलर Azure/Entra ID के लिए एक्टिव सत्र कुकीज़ कैप्चर करते हैं, जिससे अटैकर पीड़ित यूज़र के रूप में प्रमाणित हो सकते हैं, कभी-कभी MFA को बायपास करते हुए ।

कमजोर या अनुपस्थित MFA एक महत्वपूर्ण कारण बनी हुई है। जनवरी 2026 की Hudson Rock की एक रिपोर्ट में पाया गया कि दर्जनों संगठनों का डेटा क्लाउड सिस्टम से इसलिए चोरी हुआ क्योंकि उन्होंने एडमिनिस्ट्रेटिव पोर्टल्स पर MFA लागू नहीं किया था ।

तीसरे पक्ष के इंटीग्रेशन का दुरुपयोग एक और संभावना है। व्यापक संदर्भ में LiteLLM सप्लाई-चेन ब्रीच (मार्च 2026) शामिल है, जहां एक समझौता किए गए ओपन-सोर्स AI गेटवे ने 2,488 संगठनों के CI/CD क्रेडेंशियल्स का खुलासा किया था । TheHatman के लक्ष्यों में से कुछ वही कंपनियां हैं, हालांकि सीधा संबंध स्थापित नहीं हुआ है।

तत्काल जोखिम

पासवर्ड या वित्तीय डेटा न होने के बावजूद, चुराए गए कर्मचारी निर्देशिकाएं कई हाई-इम्पैक्ट हमलों को सक्षम बनाती हैं:

• बिजनेस ईमेल कॉम्प्रोमाइज (BEC): ऑर्गनाइजेशनल चार्ट और मैनेजर चेन के साथ, अटैकर कार्यकारी अधिकारियों (CEO/CFO) का रूप धारण कर फर्जी फंड ट्रांसफर या भुगतान अधिकृत कर सकते हैं ।
• स्पीयर-फिशिंग: विस्तृत नौकरी शीर्षक और रिपोर्टिंग संरचनाएं विशिष्ट भूमिकाओं के अनुरूप अत्यधिक लक्षित, विश्वसनीय फिशिंग ईमेल बनाने में सक्षम बनाती हैं ।
• विशेषाधिकार वृद्धि और पार्श्व आवाजाही (Lateral Movement): यदि चुराए गए क्रेडेंशियल्स में Azure AD ग्लोबल एडमिनिस्ट्रेटर शामिल हैं, तो अटैकर टेनेंट कॉन्फ़िगरेशन बदल सकते हैं, बैकडोर अकाउंट बना सकते हैं, या कनेक्टेड Microsoft 365 सेवाओं तक पहुंच सकते हैं ।
• पहचान की चोरी और सोशल इंजीनियरिंग: PII और संगठनात्मक संदर्भ के संयोजन से कर्मचारियों की नकल कर IT हेल्प डेस्क पर पासवर्ड रीसेट या MFA डिवाइस बदलने का अनुरोध किया जा सकता है।

यह अभियान 2026 के साइबर क्राइम ट्रेंड्स में कैसे फिट बैठता है?

TheHatman अभियान 2025-2026 में तेज हुए साइबर क्राइम परिदृश्य में एक संरचनात्मक बदलाव का उदाहरण है:

1. रैनसमवेयर के बजाय डेटा-चोरी जबरन वसूली बढ़ रही है। थ्रेट एक्टर्स तेजी से एन्क्रिप्शन को छोड़ रहे हैं। वे पहले डेटा चुराते हैं, फिर भुगतान न होने पर प्रकाशित करने या बेचने की धमकी देते हैं। यह तेज़, शांत और नेटवर्क पर रैनसमवेयर तैनात करने की जटिलता से बचाता है ।

2. क्रेडेंशियल-सक्षम क्लाउड कॉम्प्रोमाइज प्रमुख TTP है। मुख्य हमला वेक्टर अब सॉफ्टवेयर एक्सप्लॉइट नहीं बल्कि पहचान समझौता (Identity Compromise) है: इन्फोस्टीलर मैलवेयर और फिशिंग बड़े पैमाने पर वैध क्रेडेंशियल्स इकट्ठा करते हैं, जिनका उपयोग अटैकर वैध उपयोगकर्ताओं के रूप में सीधे क्लाउड पोर्टल्स में लॉग इन करने के लिए करते हैं ।

3. इनिशियल एक्सेस ब्रोकर्स (IABs) पारिस्थितिकी तंत्र को बढ़ावा देते हैं। TheHatman एक्सफ़िल्ट्रेटेड डेटा के विक्रेता के रूप में काम करता है, जो IAB मॉडल के समान है जहां विशिष्ट अभिनेता केवल एक्सेस पर ध्यान केंद्रित करते हैं, तैनाती पर नहीं। यह विशेषज्ञता आपराधिक गतिविधियों में प्रवेश की बाधा को कम करती है ।

4. आपूर्ति श्रृंखला प्रवर्धन। LiteLLM घटना ने दिखाया कि कैसे एक ओपन-सोर्स AI टूल से समझौता हजारों कंपनियों के क्रेडेंशियल्स को उजागर कर सकता है । अटैकर्स अब पीड़ितों की संख्या अधिकतम करने के लिए व्यापक रूप से उपयोग किए जाने वाले तीसरे पक्ष के इंटीग्रेशन को लक्षित करते हैं।

5. कर्मचारी निर्देशिकाएं एक वस्तु बन रही हैं। क्रेडिट कार्ड या मेडिकल रिकॉर्ड के बजाय, थ्रेट एक्टर्स संगठनात्मक मेटाडेटा (नाम, शीर्षक, पदानुक्रम) का मुद्रीकरण कर रहे हैं क्योंकि यह पारंपरिक डेटा चोरी की तुलना में कम जोखिम और उच्च लाभ वाला सोशल इंजीनियरिंग प्ले है ।