Chi è stato colpito

Le vittime nominate spaziano tra servizi IT, ospitalità, telecomunicazioni, vendita al dettaglio e logistica :

• McDonald's Corporation — circa 1.700.000+ record (directory completa dei dipendenti)
• Tata Consultancy Services (TCS) — circa 800.000+ record (TCS ha dichiarato che i dati sembrano avere più di quattro anni, nessuna violazione confermata)
• Vodafone — circa 425.000+ record (directory completa dei dipendenti)
• HCL Technologies — 250.000+ record (HCL ha smentito, non trovando prove di violazione)
• Kyndryl — directory completa dei dipendenti
• InterContinental Hotels Group (IHG) — directory dei dipendenti
• Gap Inc. — directory dei dipendenti
• Hexaware Technologies — directory dei dipendenti
• Wyndham Hotels & Resorts — directory dei dipendenti

Importante avvertenza: Diverse vittime — TCS, HCLTech e altre — hanno dichiarato pubblicamente di non aver trovato prove di una violazione diretta dei propri sistemi, con TCS che ha sottolineato che i dati sembravano avere più di quattro anni ed erano limitati a informazioni anagrafiche di base . Ciò suggerisce che i dati potrebbero essere stati aggregati da fughe di dati precedenti, esposizioni in ambienti partner o punti di accesso di terze parti, piuttosto che da un'intrusione recente in ciascun tenant Azure.

Cosa contengono i dati rubati

Le directory esfiltrate sono esportazioni standard di dipendenti da Azure AD / Entra ID e in genere includono :

• Nomi e cognomi dei dipendenti
• Indirizzi email aziendali
• ID dipendente/utente
• Titoli professionali e nomi dei dipartimenti
• Campi "riporta a" (manager)
• Numeri di telefono
• Dati sulla gerarchia organizzativa e sulla struttura dei report

Negli annunci erano incluse schermate del portale Azure / Entra ID per dimostrare l'origine dei dati . Fondamentalmente, i dati non sembrano includere informazioni finanziarie dei clienti, password o documenti aziendali classificati.

Come gli aggressori sono entrati: possibili vettori

Sebbene Hudson Rock non abbia pubblicato un'analisi definitiva delle cause profonde per questa campagna specifica, le prove e i modelli di minaccia paralleli indicano diversi vettori:

Credenziali compromesse da malware infostealer è il vettore primario più probabile. Gli infostealer come Lumma, RedLine e Vidar raccolgono credenziali memorizzate nel browser, cookie di sessione e token MFA. Un'indagine parallela di Hudson Rock sul minaccioso attore "Zestix" ha mostrato che il furto di credenziali dai log degli infostealer era il metodo di ingresso principale per l'esfiltrazione di dati dal cloud e che molte aziende non avevano MFA sui loro portali cloud .

Il furto di cookie di sessione consente agli aggressori di bypassare completamente l'inserimento della password. Gli infostealer catturano i cookie di sessione attivi per Azure / Entra ID, consentendo agli aggressori di autenticarsi come utente vittima, a volte aggirando l'MFA .

MFA debole o assente rimane un fattore critico. Un rapporto di Hudson Rock del gennaio 2026 ha rilevato che dozzine di organizzazioni hanno subito il furto di dati dai sistemi cloud proprio perché non avevano imposto l'MFA sui portali amministrativi .

L'abuso di integrazioni di terze parti è un'altra possibilità. Il contesto più ampio include la violazione della supply chain di LiteLLM (marzo 2026), in cui un gateway AI open-source compromesso ha esposto le credenziali CI/CD per 2.488 organizzazioni . Alcune delle stesse aziende appaiono nel set di vittime di TheHatman, sebbene un collegamento diretto non sia stato confermato.

Rischi immediati

Anche senza password o dati finanziari, le directory dei dipendenti rubate consentono diversi attacchi ad alto impatto:

• Business Email Compromise (BEC): Con organigrammi, catene di manager ed email aziendali verificate, gli aggressori possono impersonare dirigenti (CEO/CFO) per autorizzare bonifici o pagamenti fraudolenti .
• Spear-phishing: Titoli professionali, dipartimenti e strutture gerarchiche dettagliate consentono email di phishing altamente mirate e convincenti, adattate a ruoli specifici .
• Escalation dei privilegi e movimento laterale: Se le credenziali rubate includono quelle di amministratori globali di Azure AD, gli aggressori potrebbero modificare le configurazioni del tenant, creare account backdoor o accedere a servizi Microsoft 365 connessi, come SharePoint e Teams .
• Furto d'identità e social engineering: La combinazione di dati personali (PII) e contesto organizzativo consente l'impersonificazione dei dipendenti in chiamate o email agli help desk IT per richiedere il reset delle password o la modifica dei dispositivi MFA.

Come questa campagna si inserisce nei trend della criminalità informatica del 2026

La campagna TheHatman esemplifica un cambiamento strutturale nel panorama della criminalità informatica che ha subito un'accelerazione tra il 2025 e il 2026:

1. Il ransomware è in declino a favore dell'estorsione tramite furto di dati. I minacciosi attori saltano sempre più spesso la crittografia. Estraggono prima i dati, poi minacciano di pubblicarli o venderli se non vengono pagati. Questo è più veloce, più silenzioso ed evita la complessità operativa dell'implementazione del ransomware su una rete .

2. Il compromesso del cloud basato sulle credenziali è la tecnica, tattica e procedura (TTP) dominante. Il vettore d'attacco primario non sono più gli exploit software, ma il compromesso dell'identità: il malware infostealer e il phishing raccolgono credenziali valide su larga scala, che gli aggressori utilizzano per accedere direttamente ai portali cloud (Azure, AWS, ShareFile, Nextcloud) come utenti legittimi . I playbook di Zestix e TheHatman sono pressoché identici.

3. Gli Initial Access Broker (IAB) alimentano l'ecosistema. TheHatman sembra operare come venditore di dati esfiltrati, simile al modello IAB in cui attori specializzati si concentrano sull'accesso, non sulla distribuzione. Questa specializzazione abbassa la barriera all'ingresso per i criminali informatici a valle .

4. Amplificazione della supply chain. L'incidente di LiteLLM ha mostrato come un singolo compromesso (uno strumento AI open-source) possa esporre le credenziali per migliaia di aziende a valle . Gli aggressori ora prendono di mira le integrazioni di terze parti ampiamente utilizzate per massimizzare la portata delle vittime.

5. Le directory dei dipendenti come merce. Invece di prendere di mira carte di credito o cartelle cliniche, i minacciosi attori stanno monetizzando i metadati organizzativi (nomi, titoli, gerarchie) perché consentono il social engineering su larga vista ad alta affidabilità — un gioco a basso rischio e alto rendimento rispetto al furto di dati tradizionale .

Chi è stato colpito

Le vittime nominate spaziano tra servizi IT, ospitalità, telecomunicazioni, vendita al dettaglio e logistica :

• McDonald's Corporation — circa 1.700.000+ record (directory completa dei dipendenti)
• Tata Consultancy Services (TCS) — circa 800.000+ record (TCS ha dichiarato che i dati sembrano avere più di quattro anni, nessuna violazione confermata)
• Vodafone — circa 425.000+ record (directory completa dei dipendenti)
• HCL Technologies — 250.000+ record (HCL ha smentito, non trovando prove di violazione)
• Kyndryl — directory completa dei dipendenti
• InterContinental Hotels Group (IHG) — directory dei dipendenti
• Gap Inc. — directory dei dipendenti
• Hexaware Technologies — directory dei dipendenti
• Wyndham Hotels & Resorts — directory dei dipendenti

Importante avvertenza: Diverse vittime — TCS, HCLTech e altre — hanno dichiarato pubblicamente di non aver trovato prove di una violazione diretta dei propri sistemi, con TCS che ha sottolineato che i dati sembravano avere più di quattro anni ed erano limitati a informazioni anagrafiche di base . Ciò suggerisce che i dati potrebbero essere stati aggregati da fughe di dati precedenti, esposizioni in ambienti partner o punti di accesso di terze parti, piuttosto che da un'intrusione recente in ciascun tenant Azure.

Cosa contengono i dati rubati

Le directory esfiltrate sono esportazioni standard di dipendenti da Azure AD / Entra ID e in genere includono :

• Nomi e cognomi dei dipendenti
• Indirizzi email aziendali
• ID dipendente/utente
• Titoli professionali e nomi dei dipartimenti
• Campi "riporta a" (manager)
• Numeri di telefono
• Dati sulla gerarchia organizzativa e sulla struttura dei report

Negli annunci erano incluse schermate del portale Azure / Entra ID per dimostrare l'origine dei dati . Fondamentalmente, i dati non sembrano includere informazioni finanziarie dei clienti, password o documenti aziendali classificati.

Come gli aggressori sono entrati: possibili vettori

Sebbene Hudson Rock non abbia pubblicato un'analisi definitiva delle cause profonde per questa campagna specifica, le prove e i modelli di minaccia paralleli indicano diversi vettori:

Credenziali compromesse da malware infostealer è il vettore primario più probabile. Gli infostealer come Lumma, RedLine e Vidar raccolgono credenziali memorizzate nel browser, cookie di sessione e token MFA. Un'indagine parallela di Hudson Rock sul minaccioso attore "Zestix" ha mostrato che il furto di credenziali dai log degli infostealer era il metodo di ingresso principale per l'esfiltrazione di dati dal cloud e che molte aziende non avevano MFA sui loro portali cloud .

Il furto di cookie di sessione consente agli aggressori di bypassare completamente l'inserimento della password. Gli infostealer catturano i cookie di sessione attivi per Azure / Entra ID, consentendo agli aggressori di autenticarsi come utente vittima, a volte aggirando l'MFA .

MFA debole o assente rimane un fattore critico. Un rapporto di Hudson Rock del gennaio 2026 ha rilevato che dozzine di organizzazioni hanno subito il furto di dati dai sistemi cloud proprio perché non avevano imposto l'MFA sui portali amministrativi .

L'abuso di integrazioni di terze parti è un'altra possibilità. Il contesto più ampio include la violazione della supply chain di LiteLLM (marzo 2026), in cui un gateway AI open-source compromesso ha esposto le credenziali CI/CD per 2.488 organizzazioni . Alcune delle stesse aziende appaiono nel set di vittime di TheHatman, sebbene un collegamento diretto non sia stato confermato.

Rischi immediati

Anche senza password o dati finanziari, le directory dei dipendenti rubate consentono diversi attacchi ad alto impatto:

• Business Email Compromise (BEC): Con organigrammi, catene di manager ed email aziendali verificate, gli aggressori possono impersonare dirigenti (CEO/CFO) per autorizzare bonifici o pagamenti fraudolenti .
• Spear-phishing: Titoli professionali, dipartimenti e strutture gerarchiche dettagliate consentono email di phishing altamente mirate e convincenti, adattate a ruoli specifici .
• Escalation dei privilegi e movimento laterale: Se le credenziali rubate includono quelle di amministratori globali di Azure AD, gli aggressori potrebbero modificare le configurazioni del tenant, creare account backdoor o accedere a servizi Microsoft 365 connessi, come SharePoint e Teams .
• Furto d'identità e social engineering: La combinazione di dati personali (PII) e contesto organizzativo consente l'impersonificazione dei dipendenti in chiamate o email agli help desk IT per richiedere il reset delle password o la modifica dei dispositivi MFA.

Come questa campagna si inserisce nei trend della criminalità informatica del 2026

La campagna TheHatman esemplifica un cambiamento strutturale nel panorama della criminalità informatica che ha subito un'accelerazione tra il 2025 e il 2026:

1. Il ransomware è in declino a favore dell'estorsione tramite furto di dati. I minacciosi attori saltano sempre più spesso la crittografia. Estraggono prima i dati, poi minacciano di pubblicarli o venderli se non vengono pagati. Questo è più veloce, più silenzioso ed evita la complessità operativa dell'implementazione del ransomware su una rete .

2. Il compromesso del cloud basato sulle credenziali è la tecnica, tattica e procedura (TTP) dominante. Il vettore d'attacco primario non sono più gli exploit software, ma il compromesso dell'identità: il malware infostealer e il phishing raccolgono credenziali valide su larga scala, che gli aggressori utilizzano per accedere direttamente ai portali cloud (Azure, AWS, ShareFile, Nextcloud) come utenti legittimi . I playbook di Zestix e TheHatman sono pressoché identici.

3. Gli Initial Access Broker (IAB) alimentano l'ecosistema. TheHatman sembra operare come venditore di dati esfiltrati, simile al modello IAB in cui attori specializzati si concentrano sull'accesso, non sulla distribuzione. Questa specializzazione abbassa la barriera all'ingresso per i criminali informatici a valle .

4. Amplificazione della supply chain. L'incidente di LiteLLM ha mostrato come un singolo compromesso (uno strumento AI open-source) possa esporre le credenziali per migliaia di aziende a valle . Gli aggressori ora prendono di mira le integrazioni di terze parti ampiamente utilizzate per massimizzare la portata delle vittime.

5. Le directory dei dipendenti come merce. Invece di prendere di mira carte di credito o cartelle cliniche, i minacciosi attori stanno monetizzando i metadati organizzativi (nomi, titoli, gerarchie) perché consentono il social engineering su larga vista ad alta affidabilità — un gioco a basso rischio e alto rendimento rispetto al furto di dati tradizionale .