Chiến dịch TheHatman Azure: Hơn 1,4 triệu hồ sơ nhân viên của McDonald's, TCS và Vodafone bị đánh cắp

Một kẻ đe dọa hoạt động dưới biệt danh "TheHatman" đã và đang bán một cách có hệ thống các danh bạ nhân viên nội bộ bị đánh cắp từ ít nhất chín công ty Fortune 500, tuyên bố rằng dữ liệu được tải trực tiếp từ các cổng Microsoft Azure / Entra ID (trước đây là Azure AD) của họ bằng thông tin xác thực bị xâm phạm . Trong khoảng thời gian từ ngày 1 đến ngày 10 tháng 8 năm 2026, sáu lô hồ sơ nhân viên đã xuất hiện trên BreachForums từ một người bán duy nhất, với tổng số hồ sơ được tuyên bố là vượt quá 1,4 triệu bản ghi . Các nhà nghiên cứu của Hudson Rock đã xem xét các mẫu dữ liệu và đánh giá chúng có độ tin cậy cao, với lý do các tên miền email doanh nghiệp và cấu trúc trường khớp chính xác với các bản xuất thư mục Azure tiêu chuẩn .

Những Ai Bị Ảnh Hưởng

Các nạn nhân được nêu tên trải rộng trên nhiều lĩnh vực như dịch vụ CNTT, khách sạn, viễn thông, bán lẻ và hậu cần :

• McDonald's Corporation — khoảng 1.700.000+ bản ghi (toàn bộ danh bạ nhân viên)
• Tata Consultancy Services (TCS) — khoảng 800.000+ bản ghi (TCS cho biết dữ liệu dường như đã hơn bốn năm tuổi, chưa xác nhận vi phạm)
• Vodafone — khoảng 425.000+ bản ghi (toàn bộ danh bạ nhân viên)
• HCL Technologies — 250.000+ bản ghi (HCL phản bác, không tìm thấy bằng chứng vi phạm)
• Kyndryl — toàn bộ danh bạ nhân viên
• InterContinental Hotels Group (IHG) — danh bạ nhân viên
• Gap Inc. — danh bạ nhân viên
• Hexaware Technologies — danh bạ nhân viên
• Wyndham Hotels & Resorts — danh bạ nhân viên

Lưu ý quan trọng: Một số nạn nhân như TCS và HCLTech đã công khai tuyên bố rằng họ không tìm thấy bằng chứng về việc hệ thống của họ bị xâm nhập trực tiếp, với TCS lưu ý rằng dữ liệu dường như đã hơn bốn năm tuổi . Điều này cho thấy dữ liệu có thể được tổng hợp từ các vụ rò rỉ cũ hơn, sự lộ liễu từ môi trường đối tác, hoặc các điểm truy cập của bên thứ ba thay vì một cuộc xâm nhập mới vào môi trường Azure của từng công ty.

Dữ Liệu Bị Đánh Cắp Bao Gồm Những Gì

Các danh bạ nhân viên bị trích xuất là các bản xuất tiêu chuẩn của Azure AD / Entra ID và thường bao gồm :

• Họ và tên nhân viên
• Địa chỉ email công ty
• ID nhân viên/Người dùng
• Chức danh và tên phòng ban
• Trường báo cáo cho quản lý
• Số điện thoại
• Dữ liệu về hệ thống phân cấp tổ chức và cấu trúc báo cáo

Các bài đăng bán đặc biệt có kèm ảnh chụp màn hình cổng Azure / Entra ID để chứng minh nguồn gốc dữ liệu . Điều quan trọng là dữ liệu dường như không bao gồm thông tin tài chính của khách hàng, mật khẩu hoặc tài liệu kinh doanh được phân loại.

Cách Thức Tấn Công: Các Vectơ Có Thể Xảy Ra

Mặc dù Hudson Rock chưa công bố phân tích nguyên nhân gốc rễ cuối cùng cho chiến dịch cụ thể này, bằng chứng và các mô hình kẻ đe dọa tương tự chỉ ra một số vectơ sau:

Thông tin đăng nhập bị xâm phạm từ phần mềm độc hại đánh cắp thông tin (infostealer) là vectơ chính có khả năng cao nhất. Các infostealer như Lumma, RedLine và Vidar thu thập thông tin đăng nhập được lưu trong trình duyệt, cookie phiên và mã thông báo MFA. Một cuộc điều tra song song của Hudson Rock về kẻ đe dọa "Zestix" đã chỉ ra rằng việc đánh cắp thông tin xác thực từ nhật ký infostealer là phương pháp xâm nhập chính để trích xuất dữ liệu đám mây, và nhiều doanh nghiệp đã thiếu MFA trên các cổng đám mây của họ .

Đánh cắp cookie phiên cho phép kẻ tấn công bỏ qua hoàn toàn việc nhập mật khẩu. Các infostealer thu thập các cookie phiên hoạt động cho Azure / Entra ID, cho phép kẻ tấn công xác thực với tư cách là người dùng nạn nhân, đôi khi vượt qua cả MFA .

MFA yếu hoặc không có vẫn là một yếu tố then chốt. Một báo cáo tháng 1 năm 2026 của Hudson Rock cho thấy hàng chục tổ chức đã bị đánh cắp dữ liệu từ các hệ thống đám mây chính xác vì họ không áp dụng MFA trên các cổng quản trị .

Lạm dụng tích hợp bên thứ ba là một khả năng khác. Bối cảnh rộng hơn bao gồm vụ vi phạm chuỗi cung ứng LiteLLM (tháng 3 năm 2026), nơi một cổng AI mã nguồn mở bị xâm phạm đã làm lộ thông tin xác thực CI/CD cho 2.488 tổ chức . Một số công ty tương tự cũng xuất hiện trong danh sách nạn nhân của TheHatman, mặc dù mối liên hệ trực tiếp vẫn chưa được xác nhận.

Rủi Ro Ngay Lập Tức

Ngay cả khi không có mật khẩu hoặc dữ liệu tài chính, các danh bạ nhân viên bị đánh cắp vẫn cho phép thực hiện một số cuộc tấn công có tác động lớn:

• Xâm nhập Email Doanh nghiệp (BEC): Với sơ đồ tổ chức, chuỗi quản lý và email công ty đã được xác minh, kẻ tấn công có thể mạo danh các giám đốc điều hành (CEO/CFO) để ủy quyền chuyển tiền hoặc thanh toán gian lận .
• Spear-phishing (Lừa đảo có mục tiêu): Chức danh công việc chi tiết, phòng ban và cấu trúc báo cáo cho phép tạo ra các email lừa đảo được nhắm mục tiêu cao, có sức thuyết phục phù hợp với từng vai trò cụ thể .
• Leo thang đặc quyền và di chuyển ngang (Lateral Movement): Nếu thông tin đăng nhập bị đánh cắp bao gồm của quản trị viên toàn cầu Azure AD, kẻ tấn công có thể sửa đổi cấu hình tenant, tạo tài khoản backdoor hoặc truy cập các dịch vụ Microsoft 365, SharePoint và dữ liệu Teams được kết nối .
• Đánh cắp danh tính và kỹ thuật xã hội: Sự kết hợp giữa PII và bối cảnh tổ chức cho phép mạo danh nhân viên trong các cuộc gọi hoặc email tới bộ phận trợ giúp CNTT để yêu cầu đặt lại mật khẩu hoặc thay đổi thiết bị MFA.

Chiến Dịch Này Phù Hợp Với Xu Hướng Tội Phạm Mạng Năm 2026 Như Thế Nào

Chiến dịch TheHatman minh họa cho một sự thay đổi mang tính cấu trúc trong bối cảnh tội phạm mạng đã tăng tốc trong suốt giai đoạn 2025–2026:

1. Ransomware đang suy giảm để nhường chỗ cho tống tiền bằng đánh cắp dữ liệu. Các tác nhân đe dọa ngày càng bỏ qua hoàn toàn việc mã hóa. Thay vào đó, chúng trích xuất dữ liệu trước, sau đó đe dọa công bố hoặc bán nó nếu không được trả tiền. Cách này nhanh hơn, yên tĩnh hơn và tránh được sự phức tạp trong vận hành khi triển khai ransomware trên toàn bộ mạng .

2. Xâm phạm đám mây dựa trên thông tin xác thực là chiến thuật, kỹ thuật và quy trình (TTP) thống trị. Vectơ tấn công chính không còn là khai thác phần mềm nữa mà là xâm phạm danh tính: phần mềm độc hại đánh cắp thông tin và lừa đảo thu thập thông tin xác thực hợp lệ trên quy mô lớn, mà kẻ tấn công sau đó sử dụng để đăng nhập trực tiếp vào các cổng đám mây (Azure, AWS, ShareFile, Nextcloud) với tư cách là người dùng hợp pháp . Các kịch bản của Zestix và TheHatman gần như giống hệt nhau.

3. Các nhà môi giới truy cập ban đầu (Initial Access Brokers - IAB) nuôi dưỡng hệ sinh thái. TheHatman dường như đang hoạt động như một người bán dữ liệu bị trích xuất, tương tự như mô hình IAB, nơi các tác nhân chuyên biệt tập trung vào việc truy cập chứ không phải triển khai. Sự chuyên môn hóa này làm giảm rào cản gia nhập cho tội phạm ở hạ nguồn .

4. Khuếch đại chuỗi cung ứng. Sự cố LiteLLM cho thấy một sự xâm phạm duy nhất (một công cụ AI mã nguồn mở) có thể làm lộ thông tin xác thực cho hàng nghìn công ty ở hạ nguồn . Các kẻ tấn công hiện đang nhắm mục tiêu vào các tích hợp của bên thứ ba được sử dụng rộng rãi để tối đa hóa phạm vi tiếp cận nạn nhân.

5. Danh bạ nhân viên như một mặt hàng. Thay vì nhắm mục tiêu vào thẻ tín dụng hoặc hồ sơ y tế, các tác nhân đe dọa đang kiếm tiền từ siêu dữ liệu tổ chức (tên, chức danh, hệ thống phân cấp) vì nó cho phép kỹ thuật xã hội với độ tin cậy cao trên quy mô lớn — một trò chơi có rủi ro thấp hơn, lợi nhuận cao hơn so với đánh cắp dữ liệu truyền thống .