2026年8月1日から10日にかけ、脅威アクター「TheHatman」がBreachForumsに6つのリストを投稿。マクドナルド、TCS、ボーダフォン、HCL Technologies、Kyndryl、IHG、Gap、Hexaware、WyndhamなどFortune 500企業9社の従業員名簿、合計140万件以上の販売を主張[1][6][24]。 TCSやHCLTechなど複数の被害企業は自社システムへの侵入を否定。「データは4年以上前のもので、基本情報のみ」と説明し、古いリークやサードパーティ経由での情報流出の可能性を示唆[2][19][22]。 攻撃者はInfostealerマルウェア（Lumma、RedLine、Vidar等）で窃取した認証情報やセッションCookieを用い、MFAが不十分なクラウドポータルに不正ログインしたとみられる[7][8]。2026年のサイバー犯罪トレンドとして、ランサムウェアによる暗号化を省略し、データ窃取と恐喝に特化する戦術へのシフトが加速している[7][8]。 What was the large-scale Azure exfiltration campaign conducted by a threat actor called "TheHatman" that resulted in millions of internal em Conceptual image of the TheHatman Azure exfiltration campaign, where compromised credentials were used to steal over 1.4 million employee records from corporate Azure/Entra ID tenants. AI プロンプト Create a landscape editorial hero image for this Studio Global article: What was the large-scale Azure exfiltration campaign conducted by a threat actor called "TheHatman" that resulted in millions of internal em. Article summary: Here is a comprehensive breakdown of the campaign based on Hudson Rock's analysis and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, n
openai.com 人々も尋ねます 「脅威アクター「TheHatman」、Azure認証情報を悪用し140万件以上の従業員データを窃取——マクドナルド、TCS、ボーダフォンなど9社が標的に」の短い答えは何ですか? 2026年8月1日から10日にかけ、脅威アクター「TheHatman」がBreachForumsに6つのリストを投稿。マクドナルド、TCS、ボーダフォン、HCL Technologies、Kyndryl、IHG、Gap、Hexaware、WyndhamなどFortune 500企業9社の従業員名簿、合計140万件以上の販売を主張[1][6][24]。
最初に検証する重要なポイントは何ですか? 2026年8月1日から10日にかけ、脅威アクター「TheHatman」がBreachForumsに6つのリストを投稿。マクドナルド、TCS、ボーダフォン、HCL Technologies、Kyndryl、IHG、Gap、Hexaware、WyndhamなどFortune 500企業9社の従業員名簿、合計140万件以上の販売を主張[1][6][24]。 TCSやHCLTechなど複数の被害企業は自社システムへの侵入を否定。「データは4年以上前のもので、基本情報のみ」と説明し、古いリークやサードパーティ経由での情報流出の可能性を示唆[2][19][22]。
次の実践では何をすればいいでしょうか？ 攻撃者はInfostealerマルウェア（Lumma、RedLine、Vidar等）で窃取した認証情報やセッションCookieを用い、MFAが不十分なクラウドポータルに不正ログインしたとみられる[7][8]。2026年のサイバー犯罪トレンドとして、ランサムウェアによる暗号化を省略し、データ窃取と恐喝に特化する戦術へのシフトが加速している[7][8]。
2026年8月1日から10日にかけ、脅威アクター「TheHatman」がBreachForumsに6つのリストを投稿。マクドナルド、TCS、ボーダフォン、HCL Technologies、Kyndryl、IHG、Gap、Hexaware、WyndhamなどFortune 500企業9社の従業員名簿、合計140万件以上の販売を主張[1][6][24]。 TCSやHCLTechなど複数の被害企業は自社システムへの侵入を否定。「データは4年以上前のもので、基本情報のみ」と説明し、古いリークやサードパーティ経由での情報流出の可能性を示唆[2][19][22]。 攻撃者はInfostealerマルウェア（Lumma、RedLine、Vidar等）で窃取した認証情報やセッションCookieを用い、MFAが不十分なクラウドポータルに不正ログインしたとみられる[7][8]。2026年のサイバー犯罪トレンドとして、ランサムウェアによる暗号化を省略し、データ窃取と恐喝に特化する戦術へのシフトが加速している[7][8]。 What was the large-scale Azure exfiltration campaign conducted by a threat actor called "TheHatman" that resulted in millions of internal em Conceptual image of the TheHatman Azure exfiltration campaign, where compromised credentials were used to steal over 1.4 million employee records from corporate Azure/Entra ID tenants. AI プロンプト Create a landscape editorial hero image for this Studio Global article: What was the large-scale Azure exfiltration campaign conducted by a threat actor called "TheHatman" that resulted in millions of internal em. Article summary: Here is a comprehensive breakdown of the campaign based on Hudson Rock's analysis and corroborating sources.. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, n
openai.com 人々も尋ねます 「脅威アクター「TheHatman」、Azure認証情報を悪用し140万件以上の従業員データを窃取——マクドナルド、TCS、ボーダフォンなど9社が標的に」の短い答えは何ですか? 2026年8月1日から10日にかけ、脅威アクター「TheHatman」がBreachForumsに6つのリストを投稿。マクドナルド、TCS、ボーダフォン、HCL Technologies、Kyndryl、IHG、Gap、Hexaware、WyndhamなどFortune 500企業9社の従業員名簿、合計140万件以上の販売を主張[1][6][24]。
最初に検証する重要なポイントは何ですか? 2026年8月1日から10日にかけ、脅威アクター「TheHatman」がBreachForumsに6つのリストを投稿。マクドナルド、TCS、ボーダフォン、HCL Technologies、Kyndryl、IHG、Gap、Hexaware、WyndhamなどFortune 500企業9社の従業員名簿、合計140万件以上の販売を主張[1][6][24]。 TCSやHCLTechなど複数の被害企業は自社システムへの侵入を否定。「データは4年以上前のもので、基本情報のみ」と説明し、古いリークやサードパーティ経由での情報流出の可能性を示唆[2][19][22]。
次の実践では何をすればいいでしょうか？ 攻撃者はInfostealerマルウェア（Lumma、RedLine、Vidar等）で窃取した認証情報やセッションCookieを用い、MFAが不十分なクラウドポータルに不正ログインしたとみられる[7][8]。2026年のサイバー犯罪トレンドとして、ランサムウェアによる暗号化を省略し、データ窃取と恐喝に特化する戦術へのシフトが加速している[7][8]。
被害を受けた組織
マクドナルド（McDonald's Corporation） — 約1,700,000件以上（従業員名簿全体）タタ・コンサルタンシー・サービシズ（TCS） — 約800,000件以上（TCSはデータが4年以上前のものであり、侵害は確認されていないと説明）ボーダフォン（Vodafone） — 約425,000件以上（従業員名簿全体）HCLテクノロジーズ（HCL Technologies） — 250,000件以上（HCLは侵害の証拠はないと否定）Kyndryl — 従業員名簿全体インターコンチネンタルホテルズグループ（IHG） — 従業員名簿Gap Inc. — 従業員名簿ヘキサウェア・テクノロジーズ（Hexaware Technologies） — 従業員名簿ウィンダム・ホテルズ＆リゾーツ（Wyndham Hotels & Resorts） — 従業員名簿
窃取されたデータの内容
従業員の氏名
企業メールアドレス
従業員ID / ユーザーID
役職および部署名
管理職の報告ライン
電話番号
組織階層と報告構造のデータ
リストには特に、データの出所を証明するためにAzure / Entra IDポータルのスクリーンショット が掲載されていた含まれていない とみられる。
攻撃者の侵入経路：可能性のあるベクター Hudson Rockは本キャンペーンについて決定的な根本原因分析を公開していないが、証拠と類似の脅威アクターのパターンから、いくつかのベクターが示唆される。
Infostealerマルウェアによる認証情報の窃取 が最も可能性の高い主要ベクターである。Lumma、RedLine、VidarなどのInfostealerは、ブラウザに保存された認証情報、セッションCookie、MFAトークンを収穫する。Hudson Rockによる脅威アクター「Zestix」に関する並行調査では、Infostealerのログからの認証情報窃取がクラウドデータ流出の主要な侵入経路であり、多くの企業がクラウドポータルにMFAを実装していなかったことが示されている
セッションCookieの窃取 により、攻撃者はパスワード入力を完全に回避できる。InfostealerはAzure / Entra IDの有効なセッションCookieを取得し、攻撃者は被害ユーザーとして認証され、場合によってはMFAを迂回できる
MFAの未実装または脆弱性 は依然として重要な要因である。2026年1月のHudson Rockの報告書では、管理ポータルにMFAが適用されていなかったために、数十の組織からクラウドシステムのデータが盗まれたことが判明している
サードパーティ統合の悪用 も別の可能性である。より広範な文脈には、LiteLLMサプライチェーン侵害 （2026年3月）が含まれる。この侵害では、侵害されたオープンソースAIゲートウェイにより、2,488組織のCI/CD認証情報が露出した
差し迫ったリスク パスワードや財務データが含まれていなくても、窃取された従業員名簿はいくつかの影響力の高い攻撃を可能にする：
ビジネスメール詐欺（BEC）： 組織図、管理職の連鎖、確認済みの企業メールがあれば、攻撃者は経営幹部（CEO/CFO）になりすまし、不正な送金や支払いを承認させることができるスピアフィッシング： 詳細な役職、部署、報告構造により、特定の役割に合わせた高度に標的化され、説得力のあるフィッシングメールが可能になる権限昇格とラテラルムーブメント： 盗まれた認証情報にAzure ADの全体管理者のものが含まれている場合、攻撃者はテナント設定を変更し、バックドアアカウントを作成し、接続されたMicrosoft 365サービス、SharePoint、Teamsデータにアクセスする可能性がある個人情報詐欺とソーシャルエンジニアリング： 個人情報と組織のコンテキストの組み合わせにより、ITヘルプデスクへの電話やメールで従業員になりすまし、パスワードリセットやMFAデバイスの変更を要求することが可能になる。
本キャンペーンが示す2026年のサイバー犯罪トレンド TheHatmanキャンペーンは、2025〜2026年にかけて加速したサイバー犯罪の構造的変化を象徴している：
1. ランサムウェアの衰退とデータ窃取恐喝への移行。 脅威アクターは暗号化をますます省略している。まずデータを流出させ、支払いがない場合は公開または販売すると脅迫する。この手法はより迅速で、静かであり、ネットワーク全体にランサムウェアを展開する運用上の複雑さを回避できる
2. 認証情報を利用したクラウド侵害が支配的なTTPに。 主な攻撃ベクトルはもはやソフトウェアの脆弱性ではなく、アイデンティティの侵害 である。Infostealerマルウェアとフィッシングが大規模に有効な認証情報を収穫し、攻撃者はそれらを利用して正規ユーザーとしてクラウドポータル（Azure、AWS、ShareFile、Nextcloud）に直接ログインする
3. 初期アクセスブローカー（IAB）がエコシステムを形成。 TheHatmanは、IABモデルと同様に、流出したデータの販売者として活動しているようであり、専門化されたアクターはアクセスに特化し、展開は行わない。この専門化により、下流の犯罪者の参入障壁が低下する
4. サプライチェーン増幅。 LiteLLMインシデントは、オープンソースAIツールへの単一の侵害が、数千の下流企業の認証情報を露出させる可能性があることを示した
5. 従業員名簿の商品化。 クレジットカードや医療記録を標的とする代わりに、脅威アクターは組織のメタデータ（氏名、役職、階層）を収益化している。これは、従来のデータ窃取と比較してリスクが低く、高い信頼性で大規模なソーシャルエンジニアリングを可能にするためである
被害を受けた組織
マクドナルド（McDonald's Corporation） — 約1,700,000件以上（従業員名簿全体）タタ・コンサルタンシー・サービシズ（TCS） — 約800,000件以上（TCSはデータが4年以上前のものであり、侵害は確認されていないと説明）ボーダフォン（Vodafone） — 約425,000件以上（従業員名簿全体）HCLテクノロジーズ（HCL Technologies） — 250,000件以上（HCLは侵害の証拠はないと否定）Kyndryl — 従業員名簿全体インターコンチネンタルホテルズグループ（IHG） — 従業員名簿Gap Inc. — 従業員名簿ヘキサウェア・テクノロジーズ（Hexaware Technologies） — 従業員名簿ウィンダム・ホテルズ＆リゾーツ（Wyndham Hotels & Resorts） — 従業員名簿
窃取されたデータの内容
従業員の氏名
企業メールアドレス
従業員ID / ユーザーID
役職および部署名
管理職の報告ライン
電話番号
組織階層と報告構造のデータ
リストには特に、データの出所を証明するためにAzure / Entra IDポータルのスクリーンショット が掲載されていた含まれていない とみられる。
攻撃者の侵入経路：可能性のあるベクター Hudson Rockは本キャンペーンについて決定的な根本原因分析を公開していないが、証拠と類似の脅威アクターのパターンから、いくつかのベクターが示唆される。
Infostealerマルウェアによる認証情報の窃取 が最も可能性の高い主要ベクターである。Lumma、RedLine、VidarなどのInfostealerは、ブラウザに保存された認証情報、セッションCookie、MFAトークンを収穫する。Hudson Rockによる脅威アクター「Zestix」に関する並行調査では、Infostealerのログからの認証情報窃取がクラウドデータ流出の主要な侵入経路であり、多くの企業がクラウドポータルにMFAを実装していなかったことが示されている
セッションCookieの窃取 により、攻撃者はパスワード入力を完全に回避できる。InfostealerはAzure / Entra IDの有効なセッションCookieを取得し、攻撃者は被害ユーザーとして認証され、場合によってはMFAを迂回できる
MFAの未実装または脆弱性 は依然として重要な要因である。2026年1月のHudson Rockの報告書では、管理ポータルにMFAが適用されていなかったために、数十の組織からクラウドシステムのデータが盗まれたことが判明している
サードパーティ統合の悪用 も別の可能性である。より広範な文脈には、LiteLLMサプライチェーン侵害 （2026年3月）が含まれる。この侵害では、侵害されたオープンソースAIゲートウェイにより、2,488組織のCI/CD認証情報が露出した
差し迫ったリスク パスワードや財務データが含まれていなくても、窃取された従業員名簿はいくつかの影響力の高い攻撃を可能にする：
ビジネスメール詐欺（BEC）： 組織図、管理職の連鎖、確認済みの企業メールがあれば、攻撃者は経営幹部（CEO/CFO）になりすまし、不正な送金や支払いを承認させることができるスピアフィッシング： 詳細な役職、部署、報告構造により、特定の役割に合わせた高度に標的化され、説得力のあるフィッシングメールが可能になる権限昇格とラテラルムーブメント： 盗まれた認証情報にAzure ADの全体管理者のものが含まれている場合、攻撃者はテナント設定を変更し、バックドアアカウントを作成し、接続されたMicrosoft 365サービス、SharePoint、Teamsデータにアクセスする可能性がある個人情報詐欺とソーシャルエンジニアリング： 個人情報と組織のコンテキストの組み合わせにより、ITヘルプデスクへの電話やメールで従業員になりすまし、パスワードリセットやMFAデバイスの変更を要求することが可能になる。
本キャンペーンが示す2026年のサイバー犯罪トレンド TheHatmanキャンペーンは、2025〜2026年にかけて加速したサイバー犯罪の構造的変化を象徴している：
1. ランサムウェアの衰退とデータ窃取恐喝への移行。 脅威アクターは暗号化をますます省略している。まずデータを流出させ、支払いがない場合は公開または販売すると脅迫する。この手法はより迅速で、静かであり、ネットワーク全体にランサムウェアを展開する運用上の複雑さを回避できる
2. 認証情報を利用したクラウド侵害が支配的なTTPに。 主な攻撃ベクトルはもはやソフトウェアの脆弱性ではなく、アイデンティティの侵害 である。Infostealerマルウェアとフィッシングが大規模に有効な認証情報を収穫し、攻撃者はそれらを利用して正規ユーザーとしてクラウドポータル（Azure、AWS、ShareFile、Nextcloud）に直接ログインする
3. 初期アクセスブローカー（IAB）がエコシステムを形成。 TheHatmanは、IABモデルと同様に、流出したデータの販売者として活動しているようであり、専門化されたアクターはアクセスに特化し、展開は行わない。この専門化により、下流の犯罪者の参入障壁が低下する
4. サプライチェーン増幅。 LiteLLMインシデントは、オープンソースAIツールへの単一の侵害が、数千の下流企業の認証情報を露出させる可能性があることを示した
5. 従業員名簿の商品化。 クレジットカードや医療記録を標的とする代わりに、脅威アクターは組織のメタデータ（氏名、役職、階層）を収益化している。これは、従来のデータ窃取と比較してリスクが低く、高い信頼性で大規模なソーシャルエンジニアリングを可能にするためである
