黑客「TheHatman」靠偷嚟嘅Azure登入憑證，一口氣偷走9間Fortune 500公司過百萬員工資料

一個代號**「TheHatman」嘅威脅行為者，正有系統咁出售至少9間Fortune 500公司嘅內部員工名錄，聲稱啲數據係直接用偷返嚟嘅憑證，由Microsoft Azure/Entra ID（前身Azure AD）入口下載。由2026年8月1日至8月10日，同一賣家喺暗網論壇BreachForums貼出6批員工記錄，總數超過140萬條**。網絡安全公司Hudson Rock嘅研究人員檢視過樣本數據後，認為資料可信度極高，因為企業電郵域名同欄位結構同標準Azure目錄匯出完全一致。

邊啲公司中招？

受影響嘅企業橫跨IT服務、酒店、電訊、零售同物流業：

• 麥當勞（McDonald's Corporation） — 約170萬條（完整員工名錄）
• 塔塔諮詢服務（Tata Consultancy Services，TCS） — 約80萬條（TCS話資料超過4年，未確認有入侵）
• Vodafone — 約42.5萬條（完整員工名錄）
• HCL Technologies — 25萬條（HCL否認，稱無發現被駭證據）
• Kyndryl — 完整員工名錄
• 洲際酒店集團（InterContinental Hotels Group，IHG） — 員工名錄
• Gap Inc. — 員工名錄
• Hexaware Technologies — 員工名錄
• 溫德姆酒店及度假村（Wyndham Hotels & Resorts） — 員工名錄

重要備註： 部分被點名公司（如TCS、HCLTech）公開話調查後找不到自己系統被直接入侵嘅證據。TCS更指出啲資料超過4年，只係基本員工資料。即係話，啲資料可能嚟自舊洩漏、合作伙伴環境暴露或者第三方存取點，而唔係黑客新鮮攻入每個公司嘅Azure租戶。

被盜嘅數據有啲乜？

被盜嘅員工名錄係標準嘅Azure AD/Entra ID員工匯出檔案，通常包括：

• 員工全名
• 公司電郵地址
• 員工/用戶ID
• 職位名稱同所屬部門
• 上級主管（reports-to）資料
• 電話號碼
• 組織架構同匯報關係

最重要係，黑客賣嘢嘅時候仲附上Azure/Entra ID入口嘅截圖嚟證明數據來源。不過，數據無包括客戶財務資料、密碼或者機密商業文件。

黑客點樣入到去？

雖然Hudson Rock仲未就呢次行動發表完整嘅根因分析，但現有證據同其他威脅行為者嘅作案模式指向幾個可能性：

資訊竊取木馬（infostealer malware）偷取憑證係最可能嘅主要途徑。呢類木馬（例如Lumma、RedLine、Vidar）會偷取瀏覽器儲存嘅憑證、Session Cookie同MFA令牌。Hudson Rock之前調查另一個叫「Zestix」嘅威脅行為者時發現，佢哋就係靠infostealer日誌嚟偷公司嘅雲端數據，而且唔少企業根本冇喺雲端入口開MFA。

Session Cookie偷取可以畀黑客唔使入密碼就直接扮成受害者。Infostealer會搶走Azure/Entra ID嘅活躍Session Cookie，黑客用嚟直接登入，有時連MFA都繞過到。

MFA不足或缺失係另一個關鍵因素。2026年1月Hudson Rock嘅報告指出，幾十間機構嘅雲端資料被偷，就係因為佢哋冇喺管理入口強制用MFA。

第三方整合被濫用都係一個可能性。呢次事件嘅大背景係2026年3月嘅LiteLLM供應鏈攻擊，一個開放源碼AI gateway被入侵，導致2,488間機構嘅CI/CD憑證外洩。TheHatman嘅受害者入面，有部分同LiteLLM受害者重疊，但未經證實有直接關連。

即刻嘅風險有幾大？

就算冇密碼同財務資料，員工名錄被盜已經可以引發幾種高殺傷力攻擊：

• 企業電郵詐騙（Business Email Compromise，BEC）：有咗公司架構圖、管理層鏈同證實係真嘅公司電郵，黑客可以扮成CEO/CFO，呃其他員工授權虛假轉賬或付款。
• 魚叉式釣魚（Spear-phishing）：詳細嘅職位、部門同匯報關係，令黑客可以針對特定職位發出極度逼真嘅釣魚電郵。
• 權限提升同橫向移動：如果被偷嘅憑證入面有Azure AD全域管理員嘅帳號，黑客有機會改租戶設定、開後門帳戶，或者存取連住嘅Microsoft 365、SharePoint、Teams等服務。
• 身份盜用同社交工程：有齊個人資料同公司背景，黑客可以扮成員工打去IT支援熱線，要求重設密碼或者換MFA裝置。

呢次行動點樣反映2026年嘅網絡犯罪趨勢？

TheHatman嘅行動正好反映2025至2026年間網絡犯罪嘅結構性轉變：

1. 勒索軟件減少，數據敲詐抬頭。 攻擊者愈嚟愈唔用加密檔案。佢哋先偷走數據，然後威脅公開或出售，除非收到贖金。呢種手法更快、更靜，又唔使處理喺成個網絡部署勒索軟件嘅複雜操作。

2. 透過憑證入侵雲端成為主流戰術。 今日攻擊者主要唔係靠軟件漏洞，而係身份盜用：Infostealer木馬同釣魚攻擊大規模收集有效憑證，黑客直接用嚟登入雲端入口（Azure、AWS、ShareFile、Nextcloud），扮成合法用戶。Zestix同TheHatman嘅手法几乎一樣。

3. 初始存取仲介（Initial Access Broker，IAB）餵飽成個生態圈。 TheHatman似係專賣偷返嚟嘅數據，即係IAB模式入面嘅專門角色，專注搞到存取權，然後賣畀下游嘅罪犯。呢種分工降低咗犯罪門檻。

4. 供應鏈攻擊放大影響。 LiteLLM事件顯示，一個開放源碼AI工具被入侵，就可能暴露成千上萬間下游公司嘅憑證。攻擊者而家專門瞄準廣泛使用嘅第三方整合，令受害者數量最大化。

5. 員工名錄變成一種商品。 攻擊者唔再淨係偷信用卡或醫療記錄，而係將公司嘅組織元數據（人名、職位、架構）變現，因為呢啲資料可以用嚟做高準確度嘅社交工程攻擊，風險低但回報高。