Campanha 'TheHatman' no Azure: como 1,4 milhão de registros de funcionários foram roubados do McDonald's, TCS e Vodafone

• McDonald's Corporation — aproximadamente 1.700.000+ registros (diretório completo de funcionários)
• Tata Consultancy Services (TCS) — aproximadamente 800.000+ registros (a TCS disse que os dados parecem ter mais de quatro anos, sem confirmação de violação)
• Vodafone — aproximadamente 425.000+ registros (diretório completo de funcionários)
• HCL Technologies — 250.000+ registros (a HCL contestou, não encontrou evidências de violação)
• Kyndryl — diretório completo de funcionários
• InterContinental Hotels Group (IHG) — diretório de funcionários
• Gap Inc. — diretório de funcionários
• Hexaware Technologies — diretório de funcionários
• Wyndham Hotels & Resorts — diretório de funcionários

Ressalva importante: Várias vítimas — TCS, HCLTech e outras — declararam publicamente que não encontraram evidências de uma violação direta de seus próprios sistemas, com a TCS observando que os dados pareciam ter mais de quatro anos e se limitavam a informações básicas de funcionários . Isso sugere que os dados podem ter sido agregados de vazamentos antigos, exposição em ambientes de parceiros ou pontos de acesso de terceiros, em vez de uma invasão recente em cada locatário do Azure.

O que os dados roubados contêm

Os diretórios exportados são extrações padrão do Azure AD/Entra ID e geralmente incluem :

• Nomes completos dos funcionários
• Endereços de e-mail corporativos
• IDs de funcionário/usuário
• Cargos e nomes de departamentos
• Campos de hierarquia de subordinação (gerente)
• Números de telefone
• Dados da estrutura organizacional e cadeia de comando

Os anúncios apresentavam especificamente capturas de tela do portal Azure/Entra ID para comprovar a origem dos dados . Crucialmente, os dados não parecem incluir informações financeiras de clientes, senhas ou documentos comerciais confidenciais.

Como os atacantes conseguiram acesso: possíveis vetores

Embora a Hudson Rock não tenha publicado uma análise definitiva da causa raiz para esta campanha específica, as evidências e os padrões de atores de ameaças paralelos apontam para vários vetores:

Credenciais comprometidas por malware infostealer é o vetor primário mais provável. Infostealers como Lumma, RedLine e Vidar coletam credenciais armazenadas em navegadores, cookies de sessão e tokens de MFA. Uma investigação paralela da Hudson Rock sobre o ator de ameaça "Zestix" mostrou que o roubo de credenciais de logs de infostealers foi o principal método de entrada para exfiltração de dados na nuvem, e muitas empresas não tinham MFA em seus portais de nuvem .

Roubo de cookies de sessão permite que os atacantes ignorem completamente a entrada de senhas. Infostealers capturam cookies de sessão ativos para Azure/Entra ID, permitindo que os atacantes se autentiquem como o usuário vítima, às vezes contornando a MFA .

MFA fraca ou ausente continua sendo um facilitador crítico. Um relatório de janeiro de 2026 da Hudson Rock descobriu que dezenas de organizações tiveram dados roubados de sistemas em nuvem precisamente porque não haviam aplicado MFA em portais administrativos .

Abuso de integrações de terceiros é outra possibilidade. O contexto mais amplo inclui a violação na cadeia de suprimentos do LiteLLM (março de 2026), onde um gateway de IA de código aberto comprometido expôs credenciais de CI/CD para 2.488 organizações . Algumas das mesmas empresas aparecem no conjunto de vítimas do TheHatman, embora uma ligação direta não tenha sido confirmada.

Riscos imediatos

Mesmo sem senhas ou dados financeiros, os diretórios de funcionários roubados permitem vários ataques de alto impacto:

• Comprometimento de E-mail Corporativo (BEC): Com organogramas, cadeias de gerentes e e-mails corporativos verificados, os atacantes podem se passar por executivos (CEO/CFO) para autorizar transferências bancárias ou pagamentos fraudulentos .
• Spear-phishing: Cargos detalhados, departamentos e estruturas de subordinação permitem e-mails de phishing altamente direcionados e convincentes, adaptados a funções específicas .
• Escalação de privilégios e movimento lateral: Se as credenciais roubadas incluírem as de administradores globais do Azure AD, os atacantes podem modificar configurações do locatário, criar contas de backdoor ou acessar serviços conectados do Microsoft 365, SharePoint e Teams .
• Roubo de identidade e engenharia social: A combinação de informações pessoais e contexto organizacional permite a personificação de funcionários em chamadas ou e-mails para help desks de TI para solicitar redefinições de senha ou alterações de dispositivos MFA.

Como esta campanha se encaixa nas tendências de crime cibernético de 2026

A campanha TheHatman exemplifica uma mudança estrutural no cenário do crime cibernético que se acelerou entre 2025 e 2026:

1. O ransomware está em declínio em favor da extorsão por roubo de dados. Atores de ameaças estão cada vez mais pulando a criptografia completamente. Eles exfiltram os dados primeiro e depois ameaçam publicá-los ou vendê-los se não forem pagos. Isso é mais rápido, mais silencioso e evita a complexidade operacional de implantar ransomware em uma rede .

2. O comprometimento de nuvem habilitado por credenciais é a TTP dominante. O vetor de ataque primário não é mais a exploração de software, mas o comprometimento de identidade: malware infostealer e phishing coletam credenciais válidas em escala, que os atacantes usam para acessar diretamente portais de nuvem (Azure, AWS, ShareFile, Nextcloud) como usuários legítimos . Os manuais do Zestix e do TheHatman são quase idênticos.

3. Corretores de acesso inicial alimentam o ecossistema. O TheHatman parece estar operando como um vendedor de dados exfiltrados, semelhante ao modelo de corretor de acesso inicial, onde atores especializados focam no acesso, não na implantação. Essa especialização reduz a barreira de entrada para criminosos downstream .

4. Amplificação da cadeia de suprimentos. O incidente do LiteLLM mostrou como um único comprometimento de uma ferramenta de IA de código aberto poderia expor credenciais para milhares de empresas downstream . Os atacantes agora visam integrações de terceiros amplamente utilizadas para maximizar o alcance das vítimas.

5. Diretórios de funcionários como mercadoria. Em vez de segmentar cartões de crédito ou registros médicos, os atacantes estão monetizando metadados organizacionais (nomes, cargos, hierarquias) porque permitem engenharia social de alta confiança em escala — uma jogada de baixo risco e alto retorno em comparação com o roubo de dados tradicional .