代號「TheHatman」Azure 大規模資料竊取行動：140 萬筆 Fortune 500 公司員工目錄遭盜賣

一名化名為 「TheHatman」 的威脅行為者，正系統性地兜售從至少九家 Fortune 500 大企業竊取的內部員工目錄，聲稱這些資料是利用遭竊的憑證，直接從這些企業的 Microsoft Azure / Entra ID（前身為 Azure AD）入口網站下載取得 。從 2026 年 8 月 1 日至 10 日，同一賣家在 BreachForums 上發布了六批員工紀錄，宣稱總數超過 140 萬筆 。網路安全研究公司 Hudson Rock 的研究人員檢視了樣本資料集，並根據企業電子郵件網域以及與標準 Azure 目錄匯出格式完全吻合的欄位結構，評估這些資料極具可信度 。

受影響的企業

被點名的受害者橫跨 IT 服務、飯店、電信、零售及物流等產業 ：

• 麥當勞（McDonald's Corporation） — 約 1,700,000+ 筆紀錄（完整員工目錄）
• 塔塔諮詢服務公司（Tata Consultancy Services, TCS） — 約 800,000+ 筆紀錄（TCS 表示資料似乎已超過四年，未確認遭入侵）
• Vodafone — 約 425,000+ 筆紀錄（完整員工目錄）
• HCL Technologies — 250,000+ 筆紀錄（HCL 提出異議，未發現遭入侵證據）
• Kyndryl — 完整員工目錄
• 洲際酒店集團（InterContinental Hotels Group, IHG） — 員工目錄
• Gap Inc. — 員工目錄
• Hexaware Technologies — 員工目錄
• 溫德姆酒店集團（Wyndham Hotels & Resorts） — 員工目錄

重要但書： 部分受害企業，包括 TCS 和 HCLTech，已公開表示未發現自身系統遭直接入侵的證據。TCS 指出，這些資料似乎已超過四年歷史，且僅限於基本員工資訊 。這表明這些資料可能是從舊的洩漏事件、合作夥伴環境的外洩，或第三方存取點彙整而來，而非攻擊者最新入侵各公司 Azure 租戶的結果。

被盜資料內容

這些被竊取的目錄是標準的 Azure AD / Entra ID 員工匯出檔，通常包含 ：

• 員工全名
• 公司電子郵件地址
• 員工/使用者 ID
• 職稱與部門名稱
• 主管（匯報對象）欄位
• 電話號碼
• 組織層級與匯報結構資料

這些貼文特別附上了 Azure / Entra ID 入口網站的螢幕截圖，以證明資料的來源 。關鍵的是，這些資料似乎不包含客戶的財務資訊、密碼或機密商業文件。

攻擊者的入侵方式：可能的途徑

雖然 Hudson Rock 尚未針對此次特定行動發布明確的根本原因分析，但現有證據與平行威脅行為者的模式指向以下幾種可能途徑：

資訊竊取惡意軟體（Infostealer）竊取的憑證是最可能的主要途徑。Lumma、RedLine 和 Vidar 等資訊竊取程式會竊取瀏覽器中儲存的憑證、Session Cookie 和多因素認證（MFA）權杖。Hudson Rock 對威脅行為者「Zestix」的一項平行調查顯示，從資訊竊取記錄中盜取憑證是雲端資料外洩的主要入侵方式，且許多企業在其雲端入口網站上未啟用 MFA 。

Session Cookie 竊取讓攻擊者能完全繞過密碼輸入。資訊竊取程式會擷取 Azure / Entra ID 的有效 Session Cookie，使攻擊者能以受害使用者的身分進行驗證，有時能繞過 MFA 保護 。

MFA 薄弱或缺失仍是關鍵促成因素。Hudson Rock 在 2026 年 1 月的一份報告中發現，數十家組織的雲端系統資料遭竊，正是因為它們未在管理入口網站上強制執行 MFA 。

第三方整合濫用是另一種可能性。更廣泛的背景是 LiteLLM 供應鏈攻擊（2026 年 3 月），該攻擊利用一個遭入侵的開源 AI 閘道，暴露了 2,488 家組織的 CI/CD 憑證 。部分相同的公司也出現在 TheHatman 的受害者名單中，但兩者之間的直接關聯尚未得到證實。

立即風險

即使沒有密碼或財務資料，被盜的員工目錄仍可能導致多種高衝擊攻擊：

• 商業電子郵件詐騙（Business Email Compromise, BEC）： 有了組織圖、管理層級鏈和經過驗證的公司電子郵件，攻擊者可以冒充高階主管（CEO/CFO）來授權詐欺性的電匯或付款 。
• 魚叉式網路釣魚（Spear-phishing）： 詳細的職稱、部門和匯報結構，使得攻擊者能夠針對特定角色發送高度精準、具有說服力的釣魚郵件 。
• 權限提升與橫向移動： 如果被竊的憑證包含 Azure AD 全域管理員的帳號，攻擊者可能修改租戶配置、建立後門帳戶或存取連接的 Microsoft 365 服務、SharePoint 和 Teams 資料 。
• 身分盜用與社交工程： 個人識別資訊（PII）與組織背景的結合，使攻擊者能夠在致電 IT 服務台時冒充員工，要求重設密碼或變更 MFA 裝置。

此次行動如何融入 2026 年的網路犯罪趨勢

TheHatman 行動體現了 2025 至 2026 年間加速發展的網路犯罪格局的結構性轉變：

1. 勒索軟體減少，資料竊取勒索崛起。 威脅行為者越來越多地完全跳過加密步驟。他們先竊取資料，然後威脅除非支付贖金，否則將公布或出售資料。這種方式更快、更隱蔽，並避免了在整個網路中部署勒索軟體的運營複雜性 。

2. 憑證驅動的雲端入侵成為主流戰術、技術與程序（TTP）。 主要的攻擊向量不再是軟體漏洞，而是身分入侵：資訊竊取惡意軟體和釣魚攻擊大規模收集有效憑證，攻擊者隨後以合法使用者身分直接登入雲端入口網站（Azure、AWS、ShareFile、Nextcloud）。Zestix 和 TheHatman 的攻擊手法幾乎相同。

3. 初始存取經紀人（Initial Access Brokers, IABs）滋養了整個生態系統。 TheHatman 似乎是一名兜售被竊資料的賣家，類似於 IAB 模式，即專門化的行為者專注於取得存取權限，而非部署攻擊。這種專業化降低了下游犯罪者的進入門檻 。

4. 供應鏈放大效應。 LiteLLM 事件顯示，單一開源 AI 工具的入侵如何能暴露數千家下游公司的憑證 。攻擊者現在將目標對準廣泛使用的第三方整合，以最大化受害範圍。

5. 員工目錄成為商品。 威脅行為者不再以信用卡或醫療記錄為目標，而是將組織元數據（姓名、職稱、層級）貨幣化，因為它能實現大規模、高可信度的社交工程——與傳統的資料竊取相比，這是一種風險較低、回報較高的玩法 。