해커 'TheHatman', MS Azure 크리덴셜 해킹으로 글로벌 기업 9곳 직원 디렉토리 140만 건 판매

• 맥도날드 코퍼레이션 (McDonald's Corporation) — 약 1,700,000개 이상의 기록 (전체 직원 디렉토리)
• 타타 컨설턴시 서비스 (Tata Consultancy Services, TCS) — 약 800,000개 이상의 기록 (TCS는 데이터가 4년 이상 지난 것으로 보이며 침해가 확인되지 않았다고 밝힘)
• 보다폰 (Vodafone) — 약 425,000개 이상의 기록 (전체 직원 디렉토리)
• HCL 테크놀러지스 (HCL Technologies) — 250,000개 이상의 기록 (HCL은 이의를 제기하며 침해 증거를 찾지 못함)
• 킨드릴 (Kyndryl) — 전체 직원 디렉토리
• 인터컨티넨탈 호텔 그룹 (InterContinental Hotels Group, IHG) — 직원 디렉토리
• 갭 (Gap Inc.) — 직원 디렉토리
• 헥사웨어 테크놀로지스 (Hexaware Technologies) — 직원 디렉토리
• 윈덤 호텔 & 리조트 (Wyndham Hotels & Resorts) — 직원 디렉토리

중요한 주의사항: TCS, HCLTech 등 여러 피해 기업은 자사 시스템에 대한 직접적인 침해 증거를 찾지 못했다고 공식 발표했습니다. TCS는 데이터가 4년 이상 지난 것으로 보이며 기본적인 직원 정보로 제한된다고 언급했습니다 . 이는 해당 데이터가 각 회사의 Azure 테넌트에 대한 새로운 침입보다는 오래된 유출, 파트너 환경 노출 또는 제3자 접근 지점에서 수집되었을 가능성을 시사합니다.

유출된 데이터는 무엇을 포함하나?

유출된 디렉토리는 표준 Azure AD / Entra ID 직원 내보내기 파일로, 일반적으로 다음을 포함합니다 :

• 직원 전체 이름
• 회사 이메일 주소
• 직원/사용자 ID
• 직함 및 부서명
• 관리자 보고 체계 필드
• 전화번호
• 조직 계층 구조 및 보고 체계 데이터

게시물에는 특히 데이터의 출처를 증명하기 위해 Azure / Entra ID 포털의 스크린샷이 포함되었습니다 . 중요한 점은 이 데이터에 고객 금융 정보, 비밀번호 또는 기밀 비즈니스 문서가 포함되지 않은 것으로 보인다는 것입니다.

공격자는 어떻게 침투했나? 가능한 경로

Hudson Rock이 이 특정 캠페인에 대한 결정적인 근본 원인 분석을 발표하지는 않았지만, 증거와 유사한 위협 행위자 패턴은 여러 경로를 지적합니다:

정보 탈취형 악성코드(Infostealer)로 인한 크리덴셜 탈취가 가장 유력한 주요 경로입니다. Lumma, RedLine, Vidar와 같은 Infostealer는 브라우저에 저장된 크리덴셜, 세션 쿠키 및 MFA 토큰을 수집합니다. 위협 행위자 'Zestix'에 대한 Hudson Rock의 병행 조사에 따르면, Infostealer 로그에서 크리덴셜을 탈취하는 것이 클라우드 데이터 유출의 주요 진입 방법이었으며, 많은 기업이 클라우드 포털에 MFA를 적용하지 않았습니다 .

세션 쿠키 탈취를 통해 공격자는 비밀번호 입력을 완전히 우회할 수 있습니다. Infostealer는 Azure / Entra ID에 대한 활성 세션 쿠키를 캡처하여 공격자가 피해자 사용자로 인증할 수 있게 하며, 때로는 MFA를 우회하기도 합니다 .

약하거나 없는 MFA는 여전히 중요한 촉진 요인입니다. 2026년 1월 Hudson Rock 보고서에 따르면, 수십 개의 조직이 관리 포털에 MFA를 적용하지 않았기 때문에 정확히 클라우드 시스템에서 데이터가 도난당했습니다 .

제3자 통합 남용도 또 다른 가능성입니다. 더 넓은 맥락에는 LiteLLM 공급망 침해 사고(2026년 3월)가 포함되며, 여기서 손상된 오픈소스 AI 게이트웨이가 2,488개 조직의 CI/CD 크리덴셜을 노출했습니다 . TheHatman의 피해자 중 일부가 이 그룹에 포함되지만, 직접적인 연관성은 확인되지 않았습니다.

즉각적인 위험

비밀번호나 금융 데이터가 없더라도, 도난당한 직원 디렉토리는 몇 가지 고영향 공격을 가능하게 합니다:

• 비즈니스 이메일 침해 (BEC, Business Email Compromise): 조직도, 관리자 체인 및 확인된 회사 이메일을 통해 공격자는 임원(CEO/CFO)을 사칭하여 사기성 송금 또는 지불을 승인하도록 할 수 있습니다 .
• 표적 피싱 (Spear-phishing): 세부적인 직함, 부서 및 보고 구조를 통해 특정 역할에 맞춰진 매우 설득력 있는 표적 피싱 이메일을 보낼 수 있습니다 .
• 권한 상승 및 수평 이동: 도난당한 크리덴셜에 Azure AD 전역 관리자의 것이 포함된 경우, 공격자는 테넌트 구성을 수정하고, 백도어 계정을 생성하거나, 연결된 Microsoft 365 서비스, SharePoint 및 Teams 데이터에 액세스할 수 있습니다 .
• 신원 도용 및 사회 공학: 개인 식별 정보(PII)와 조직 상황의 조합으로 비밀번호 재설정이나 MFA 장치 변경을 요청하기 위해 IT 헬프데스크에 전화하거나 이메일을 보내 직원을 사칭할 수 있습니다.

이 캠페인이 2026년 사이버 범죄 트렌드에 어떻게 부합하는가

TheHatman 캠페인은 2025~2026년에 가속화된 사이버 범죄 환경의 구조적 변화를 보여줍니다:

1. 랜섬웨어는 데이터 탈취 협박에 밀려 감소 추세입니다. 위협 행위자들은 점점 더 암호화를 건너뜁니다. 그들은 먼저 데이터를 빼돌린 다음, 대가를 받지 않으면 공개하거나 판매하겠다고 협박합니다. 이는 더 빠르고 조용하며 네트워크 전체에 랜섬웨어를 배포하는 운영 복잡성을 피할 수 있습니다 .

2. 크리덴셜 기반 클라우드 침해가 지배적인 TTP(전술, 기법, 절차)입니다. 주요 공격 벡터는 더 이상 소프트웨어 취약점이 아니라 **신원 침해(identity compromise)**입니다. Infostealer 악성코드와 피싱이 대규모로 유효한 크리덴셜을 수집하고, 공격자는 이를 사용하여 합법적인 사용자처럼 클라우드 포털(Azure, AWS, ShareFile, Nextcloud)에 직접 로그인합니다 . Zestix와 TheHatman의 플레이북은 거의 동일합니다.

3. 초기 접근 브로커(IAB, Initial Access Broker)가 생태계를 공급합니다. TheHatman은 유출된 데이터 판매자로 운영되는 것으로 보이며, 이는 전문 행위자가 배포가 아닌 접근에 집중하는 IAB 모델과 유사합니다. 이러한 전문화는 하위 범죄자들의 진입 장벽을 낮춥니다 .

4. 공급망 증폭 효과. LiteLLM 사고는 단일 오픈소스 AI 도구의 손상이 수천 개의 하위 기업에 대한 크리덴셜을 어떻게 노출시킬 수 있는지 보여주었습니다 . 공격자들은 이제 피해자 범위를 극대화하기 위해 널리 사용되는 제3자 통합을 표적으로 삼고 있습니다.

5. 직원 디렉토리가 상품화되고 있습니다. 위협 행위자들은 신용카드나 의료 기록 대신 조직 메타데이터(이름, 직함, 계층 구조)를 금전화하고 있습니다. 이는 대규모로 신뢰도 높은 사회 공학 공격을 가능하게 하기 때문이며, 전통적인 데이터 도난에 비해 위험이 낮고 보상이 높은 전략입니다 .