Aksi TheHatman: 1,4 Juta Data Karyawan Perusahaan Fortune 500 Dijual, Bermula dari Kredensial Azure yang Bocor

• McDonald's Corporation — sekitar 1.700.000+ catatan (direktori karyawan lengkap)
• Tata Consultancy Services (TCS) — sekitar 800.000+ catatan (TCS menyatakan data tampaknya berusia lebih dari empat tahun, tidak ada bukti peretasan)
• Vodafone — sekitar 425.000+ catatan (direktori karyawan lengkap)
• HCL Technologies — 250.000+ catatan (HCL membantah, tidak menemukan bukti peretasan)
• Kyndryl — direktori karyawan lengkap
• InterContinental Hotels Group (IHG) — direktori karyawan
• Gap Inc. — direktori karyawan
• Hexaware Technologies — direktori karyawan
• Wyndham Hotels & Resorts — direktori karyawan

Catatan penting: Beberapa korban — TCS, HCLTech, dan lainnya — secara terbuka menyatakan bahwa mereka tidak menemukan bukti adanya peretasan langsung ke sistem mereka. TCS mencatat bahwa data yang dimaksud tampaknya sudah berusia lebih dari empat tahun dan terbatas pada informasi dasar karyawan . Ini mengindikasikan bahwa data mungkin merupakan agregasi dari kebocoran lama, paparan dari lingkungan mitra, atau akses melalui pihak ketiga, bukan peretasan baru ke masing-masing penyewa Azure perusahaan.

Isi Data yang Dicuri

Direktori yang dieksfiltrasi merupakan ekspor standar Azure AD / Entra ID dan biasanya mencakup :

• Nama lengkap karyawan
• Alamat email perusahaan
• ID Karyawan/Pengguna
• Jabatan dan departemen
• Atasan (struktur laporan)
• Nomor telepon
• Hierarki organisasi dan data struktur pelaporan

Dalam unggahannya, pelaku secara khusus menampilkan tangkapan layar portal Azure / Entra ID untuk membuktikan asal-usul data . Penting untuk dicatat, data tersebut tidak mencakup informasi keuangan pelanggan, kata sandi, atau dokumen bisnis rahasia.

Bagaimana Pelaku Mendapatkan Akses?

Meskipun Hudson Rock belum merilis analisis akar penyebab yang definitif untuk kampanye ini, bukti dan pola dari threat actor lain menunjukkan beberapa vektor:

Kredensial yang disusupi dari malware infostealer adalah vektor utama yang paling mungkin. Infostealer seperti Lumma, RedLine, dan Vidar mengumpulkan kredensial yang tersimpan di browser, cookie sesi, dan token MFA. Investigasi paralel Hudson Rock terhadap threat actor "Zestix" menunjukkan bahwa pencurian kredensial dari log infostealer adalah metode masuk utama untuk eksfiltrasi data cloud, dan banyak perusahaan tidak menerapkan MFA di portal cloud mereka .

Pencurian cookie sesi memungkinkan pelaku melewati proses memasukkan kata sandi sama sekali. Infostealer menangkap cookie sesi aktif untuk Azure / Entra ID, sehingga pelaku dapat mengautentikasi sebagai pengguna korban, terkadang tanpa perlu melewati MFA .

MFA yang lemah atau tidak ada masih menjadi faktor kunci. Laporan Hudson Rock pada Januari 2026 menemukan bahwa lusinan organisasi mengalami pencurian data dari sistem cloud justru karena mereka tidak menerapkan MFA di portal administratif .

Penyalahgunaan integrasi pihak ketiga adalah kemungkinan lain. Konteks yang lebih luas mencakup insiden rantai pasokan LiteLLM (Maret 2026), di mana sebuah gateway AI sumber terbuka yang disusupi mengekspos kredensial CI/CD untuk 2.488 organisasi . Beberapa perusahaan yang sama muncul dalam daftar korban TheHatman, meskipun hubungan langsungnya belum dikonfirmasi.

Risiko Langsung

Meskipun tidak mengandung kata sandi atau data keuangan, direktori karyawan yang dicuri memungkinkan sejumlah serangan berdampak tinggi:

• Business Email Compromise (BEC): Dengan bagan organisasi, rantai atasan-bawahan, dan alamat email perusahaan yang terverifikasi, pelaku dapat menyamar sebagai eksekutif (CEO/CFO) untuk mengotorisasi transfer dana atau pembayaran palsu .
• Spear-phishing: Jabatan, departemen, dan struktur pelaporan yang detail memungkinkan pembuatan email phishing yang sangat meyakinkan dan ditargetkan secara spesifik .
• Privilege escalation dan lateral movement: Jika kredensial yang dicuri mencakup administrator global Azure AD, pelaku dapat mengubah konfigurasi penyewa, membuat akun backdoor, atau mengakses layanan Microsoft 365, SharePoint, dan data Teams yang terhubung .
• Pencurian identitas dan social engineering: Kombinasi PII dan konteks organisasi memungkinkan peniruan identitas karyawan dalam panggilan atau email ke help desk TI untuk meminta pengaturan ulang kata sandi atau perubahan perangkat MFA.

Bagaimana Kampanye Ini Sesuai dengan Tren Kejahatan Siber 2026?

Kampanye TheHatman menjadi contoh nyata pergeseran struktural dalam lanskap kejahatan siber yang semakin cepat pada 2025–2026:

1. Ransomware menurun, pencurian data untuk pemerasan meningkat. Threat actor semakin sering melewatkan proses enkripsi. Mereka mengeksfiltrasi data terlebih dahulu, lalu mengancam akan mempublikasikan atau menjualnya jika tidak dibayar. Ini lebih cepat, lebih senyap, dan menghindari kerumitan operasional penyebaran ransomware di seluruh jaringan .

2. Kompromi cloud bertenaga kredensial menjadi TTP dominan. Vektor serangan utama bukan lagi eksploitasi perangkat lunak, melainkan kompromi identitas: malware infostealer dan phishing mengumpulkan kredensial valid dalam skala besar, yang kemudian digunakan pelaku untuk masuk langsung ke portal cloud (Azure, AWS, ShareFile, Nextcloud) sebagai pengguna sah . Pola serangan Zestix dan TheHatman hampir identik.

3. Initial access brokers (IAB) memasok ekosistem. TheHatman tampaknya beroperasi sebagai penjual data yang dieksfiltrasi, mirip dengan model IAB di mana aktor khusus fokus pada akses, bukan pada tahap serangan selanjutnya. Spesialisasi ini menurunkan hambatan masuk bagi pelaku kriminal di hilir .

4. Amplifikasi rantai pasokan. Insiden LiteLLM menunjukkan bagaimana satu kompromi pada alat AI sumber terbuka dapat mengekspos kredensial bagi ribuan perusahaan di hilir . Pelaku kini menargetkan integrasi pihak ketiga yang banyak digunakan untuk memaksimalkan jangkauan korban.

5. Direktori karyawan sebagai komoditas. Alih-alih menargetkan kartu kredit atau catatan medis, threat actor memonetisasi metadata organisasi (nama, jabatan, hierarki) karena memungkinkan social engineering dengan keyakinan tinggi dalam skala besar — sebuah strategi berisiko rendah namun bernilai tinggi dibandingkan pencurian data tradisional .