Зловмисник TheHatman викрав 1,4 мільйона записів співробітників із Fortune 500 через Azure

Загрозливий актор, відомий під псевдонімом "TheHatman", систематично продавав внутрішні довідники співробітників, викрадені щонайменше з дев'яти компаній зі списку Fortune 500. Зловмисник стверджував, що завантажив ці дані безпосередньо з порталів Microsoft Azure / Entra ID (колишній Azure AD), використовуючи скомпрометовані облікові дані . З 1 по 10 серпня 2026 року на форумі BreachForums з'явилися шість оголошень від одного продавця, який стверджував, що загальна кількість викрадених записів перевищує 1,4 мільйона . Дослідники з Hudson Rock проаналізували зразки даних і визнали їх високо достовірними, посилаючись на корпоративні домени електронної пошти та структуру полів, які точно відповідають стандартним експортним файлам каталогів Azure .

Хто постраждав

Серед названих жертв — компанії зі сфери IT-послуг, гостинності, телекомунікацій, роздрібної торгівлі та логістики :

• McDonald's Corporation — приблизно 1 700 000+ записів (повний довідник співробітників)
• Tata Consultancy Services (TCS) — приблизно 800 000+ записів (TCS заявила, що дані виглядають застарілими — понад чотири роки, факт злому не підтверджено)
• Vodafone — приблизно 425 000+ записів (повний довідник співробітників)

Важливе застереження: Кілька жертв — TCS, HCLTech та інші — публічно заявили, що не виявили доказів прямого злому власних систем. TCS зазначила, що дані виглядають застарілими (понад чотири роки) та обмежуються базовою інформацією про співробітників . Це свідчить про те, що дані могли бути зібрані зі старих витоків, отримані через скомпрометовані середовища партнерів або сторонні точки доступу, а не внаслідок свіжого вторгнення в кожен окремий Azure-тенант.

Що містять викрадені дані

Експортовані довідники є стандартними експортними файлами Azure AD / Entra ID і зазвичай включають :

• Повні імена співробітників
• Корпоративні адреси електронної пошти
• Ідентифікатори співробітників/користувачів
• Назви посад і відділів
• Поля "підпорядкування керівнику"
• Номери телефонів
• Дані про організаційну ієрархію та структуру звітності

В оголошеннях були опубліковані скріншоти порталу Azure / Entra ID для підтвердження походження даних . Важливо, що дані не містять фінансової інформації клієнтів, паролів або конфіденційних бізнес-документів.

Як зловмисники отримали доступ: можливі вектори

Хоча Hudson Rock не опублікувала остаточного аналізу першопричин для цієї конкретної кампанії, наявні докази та паралельні схеми дій інших загрозливих акторів вказують на кілька векторів:

Скомпрометовані облікові дані з інфостилерів — найбільш імовірний первинний вектор. Шкідливе ПЗ-крадії, таке як Lumma, RedLine та Vidar, викрадає облікові дані, збережені в браузері, файли cookie сесій та токени MFA. Паралельне розслідування Hudson Rock щодо загрозливого актора "Zestix" показало, що крадіжка облікових даних із логів інфостилерів була основним методом доступу для витоку хмарних даних, і багато підприємств не використовували MFA на своїх хмарних порталах .

Крадіжка файлів cookie сесій дозволяє зловмисникам обійти введення пароля. Інфостилери захоплюють активні файли cookie сесій для Azure / Entra ID, що дає змогу зловмисникам автентифікуватися як жертва, іноді в обхід MFA .

Слабка або відсутня багатофакторна автентифікація (MFA) залишається критичним фактором. Звіт Hudson Rock за січень 2026 року виявив, що десятки організацій постраждали від крадіжки даних із хмарних систем саме тому, що не впровадили MFA на адміністративних порталах .

Зловживання інтеграціями сторонніх розробників — ще одна можливість. Ширший контекст включає атаку на ланцюжок постачання LiteLLM (березень 2026 року), коли скомпрометований шлюз штучного інтелекту з відкритим кодом викрив облікові дані CI/CD для 2 488 організацій . Деякі з тих самих компаній фігурують у списку жертв TheHatman, хоча прямого зв'язку не підтверджено.

Негайні ризики

Навіть без паролів чи фінансових даних, викрадені довідники співробітників дозволяють проводити кілька високоефективних атак:

• Компрометація бізнес-електронної пошти (BEC): Маючи організаційні схеми, ланцюжки керівництва та підтверджені корпоративні електронні адреси, зловмисники можуть видавати себе за керівників (CEO/CFO) для авторизації шахрайських банківських переказів або платежів .
• Цільовий фішинг (Spear-phishing): Детальні посади, відділи та структури звітності дозволяють створювати переконливі фішингові листи, адаптовані до конкретних ролей .
• Підвищення привілеїв та горизонтальне переміщення: Якщо викрадені облікові дані належать глобальним адміністраторам Azure AD, зловмисники можуть змінювати конфігурацію тенантів, створювати облікові записи для бекдорів або отримувати доступ до пов'язаних служб Microsoft 365, SharePoint та Teams .
• Крадіжка особистих даних та соціальна інженерія: Поєднання персональних даних та організаційного контексту дозволяє видавати себе за співробітників у дзвінках або листах до IT-служби підтримки для запиту на скидання паролів або зміну пристроїв MFA.

Як ця кампанія вписується в тренди кіберзлочинності 2026 року

Кампанія TheHatman є прикладом структурного зсуву в ландшафті кіберзлочинності, який прискорився протягом 2025–2026 років:

1. Програми-вимагачі відступають на користь вимагання через крадіжку даних. Загрозливі актори дедалі частіше повністю відмовляються від шифрування. Вони спочатку викрадають дані, а потім погрожують опублікувати або продати їх, якщо не отримають викуп. Це швидше, менш гамірно і дозволяє уникнути операційної складності розгортання програм-вимагачів у мережі .

2. Компрометація хмари через облікові дані є домінуючою тактикою. Основним вектором атаки більше не є експлойти програмного забезпечення, а компрометація ідентифікаційних даних: шкідливе ПЗ-крадії та фішинг масово збирають дійсні облікові дані, які зловмисники використовують для прямого входу в хмарні портали (Azure, AWS, ShareFile, Nextcloud) як легітимні користувачі . Методи Zestix та TheHatman майже ідентичні.

3. Брокери первинного доступу (IAB) живлять екосистему. TheHatman, схоже, діє як продавець викрадених даних, подібно до моделі IAB, де спеціалізовані актори зосереджуються на доступі, а не на розгортанні. Ця спеціалізація знижує бар'єр входу для інших злочинців .

4. Ампліфікація через ланцюжок постачання. Інцидент з LiteLLM показав, як єдина компрометація інструменту з відкритим кодом може викрити облікові дані для тисяч компаній . Зловмисники тепер націлюються на широко використовувані інтеграції сторонніх розробників, щоб максимізувати кількість жертв.

5. Довідники співробітників як товар. Замість того, щоб націлюватися на кредитні картки або медичні записи, загрозливі актори монетизують організаційні метадані (імена, посади, ієрархію), оскільки це дозволяє проводити високодостовірну соціальну інженерію в масштабах — це менш ризикована та високоприбуткова справа порівняно з традиційною крадіжкою даних .