Hoe een hacker via gestolen inloggegevens 1,4 miljoen personeelsdossiers van Fortune 500-bedrijven buitmaakte

Een anonieme dreigingsacteur met de bijnaam 'TheHatman' heeft in korte tijd miljoenen medewerkersdossiers van grote bedrijven te koop gezet op het darkweb. Hij beweert dat hij de bestanden rechtstreeks uit de Azure- en Entra ID-omgevingen (voorheen Azure Active Directory) van slachtoffers heeft gedownload met behulp van gestolen inloggegevens . Tussen 1 en 10 augustus 2026 verschenen er zes batches op het hackersforum BreachForums, goed voor meer dan 1,4 miljoen records . Beveiligingsonderzoekers van Hudson Rock bekeken steekproeven en vonden de data geloofwaardig: de e-maildomeinen en veldstructuren komen exact overeen met standaard Azure-directory-exporten .

Wie zijn getroffen?

De lijst slachtoffers beslaat zowel IT-dienstverleners als hotels, telecom, retail en logistiek :

• McDonald's Corporation — circa 1.700.000+ records (volledige personeelsdirectory)
• Tata Consultancy Services (TCS) — circa 800.000+ records (TCS zegt dat de data er meer dan vier jaar oud uitziet; geen bevestigde inbraak)
• Vodafone — circa 425.000+ records (volledige directory)
• HCL Technologies — 250.000+ records (HCL spreekt dit tegen; geen bewijs van inbraak gevonden)
• Kyndryl — volledige medewerkersdirectory
• InterContinental Hotels Group (IHG) — medewerkersdirectory
• Gap Inc. — medewerkersdirectory
• Hexaware Technologies — medewerkersdirectory
• Wyndham Hotels & Resorts — medewerkersdirectory

Belangrijke kanttekening: Meerdere bedrijven — waaronder TCS en HCLTech — hebben openlijk gezegd dat zij geen aanwijzingen hebben voor een directe inbraak in hun eigen systemen. TCS stelt dat de data er meer dan vier jaar oud uitziet en alleen basisinformatie bevat . Dat wijst erop dat de bestanden mogelijk afkomstig zijn uit oudere lekken, via partners of via een externe toegangspoort – niet uit een verse aanval op elke Azure-omgeving apart.

Wat staat er in de gestolen dossiers?

De bestanden zijn reguliere Azure AD / Entra ID-exporten van medewerkersgegevens. Ze bevatten doorgaans :

• Volledige namen
• Zakelijke e-mailadressen
• Medewerkers-ID's / gebruikers-ID's
• Functietitels en afdelingen
• Naam van de direct leidinggevende
• Telefoonnummers
• Organisatiestructuur en rapportagelijnen

De verkoper liet in de advertenties schermafbeeldingen van het Azure / Entra ID-portaal zien om de herkomst te bewijzen . Het gaat niet om klantgegevens, wachtwoorden of vertrouwelijke bedrijfsdocumenten.

Hoe kregen ze toegang?

Hudson Rock heeft nog geen definitieve oorzaak voor deze specifieke campagne gepubliceerd, maar het bewijs en het gedrag van vergelijkbare acteurs wijzen op meerdere waarschijnlijke scenario's.

Gestolen inloggegevens via infostealers is veruit de meest waarschijnlijke route. Infostealers zoals Lumma, RedLine en Vidar verzamelen wachtwoorden, sessiecookies en MFA-tokens die in de browser zijn opgeslagen. Uit een parallel onderzoek van Hudson Rock naar de dreigingsacteur 'Zestix' bleek dat diefstal van credentials via infostealers de standaardmethode was en dat veel bedrijven geen MFA op hun cloudportals hadden ingeschakeld .

Sessiecookies stelen maakt het mogelijk om helemaal geen wachtwoord meer nodig te hebben. Infostealers vangen actieve sessiecookies voor Azure / Entra ID, waarmee een aanvaller zich kan voordoen als de ingelogde gebruiker – soms ook zonder dat MFA wordt gevraagd .

Afwezigheid van of zwakke MFA blijft een kritieke risicofactor. Een Hudson Rock-rapport van januari 2026 liet zien dat tientallen organisaties data verloren uit cloud-systemen juist omdat MFA niet verplicht was op hun beheerportals .

Misbruik van integraties met derden is een andere mogelijkheid. De bredere context omvat het LiteLLM supply-chain-lek (maart 2026), waarbij een gecompromitteerde open-source AI-gateway CI/CD-credentials blootlegde voor 2.488 organisaties . Sommige bedrijven uit die lijst komen ook voor in de slachtoffers van TheHatman, al is een direct verband niet bevestigd.

Wat zijn de onmiddellijke risico's?

Ook zonder wachtwoorden of financiële data vormen de medewerkersdirectories een goudmijn voor andere soorten aanvallen:

• CEO-fraude (Business Email Compromise, BEC): met het organisatieschema, de namen van leidinggevenden en bevestigde e-mailadressen kunnen criminelen zich voordoen als de CEO of CFO om frauduleuze betalingen te laten uitvoeren .
• Spear-phishing: precieze functietitels, afdelingen en rapportagelijnen maken het mogelijk om zeer overtuigende, op maat gemaakte phishingmails te sturen .
• Privilege-uitbreiding: als de gestolen credentials afkomstig zijn van een Azure AD-global administrator, kan de aanvaller de hele tenant-omgeving herconfigureren, achterdeurtjes aanmaken of bij gekoppelde diensten zoals SharePoint en Teams komen .
• Identiteitsdiefstal: de combinatie van persoonsgegevens en organisatiecontext maakt het eenvoudig om medewerkers te imiteren in telefoontjes of e-mails naar de IT-helpdesk, bijvoorbeeld om een wachtwoord te laten resetten.

Hoe past dit in de trends van 2026?

De TheHatman-campagne is een voorbeeld van een structurele verschuiving in cybercriminaliteit die in 2025–2026 flink is versneld:

1. Ransomware maakt plaats voor pure datadiefstal. Criminelen slaan encryptie steeds vaker over. Ze stelen de data eerst en dreigen die te publiceren of verkopen als er niet wordt betaald. Dat is sneller, stiller en makkelijker dan ransomware verspreiden over een heel netwerk .

2. Cloud-inbraak via gestolen credentials is de dominante techniek. Inbrekers maken niet langer gebruik van softwarefouten, maar van identiteitsdiefstal: infostealers en phishing leveren op grote schaal geldige inloggegevens op, waarmee ze rechtstreeks in cloud-portals (Azure, AWS, ShareFile, Nextcloud) inloggen . De werkwijze van Zestix en TheHatman is bijna identiek.

3. Initial Access Brokers (IABs) voeden het ecosysteem. TheHatman lijkt op te treden als verkoper van buitgemaakte data, net als in het IAB-model: gespecialiseerde criminelen richten zich alleen op toegang en verkopen die door aan anderen. Dat verlaagt de drempel voor kleinere bendes .

4. Supply-chain-aanvallen versterken het effect. Het LiteLLm-incident liet zien hoe één enkele compromittering van een open-source AI-tool credentials kon blootleggen van duizenden bedrijven . Aanvallers richten zich nu op breed gebruikte integraties van derden om zoveel mogelijk slachtoffers in één keer te raken.

5. Medewerkersdossiers worden een handelswaar. In plaats van creditcardnummers of medische dossiers zetten criminelen nu organisatorische metadata (namen, functies, hiërarchieën) te koop. Omdat die gegevens zeer effectieve social engineering mogelijk maken, levert dat een lager risico en een hoog rendement op in vergelijking met traditionele datadiefstal .