Uma campanha de roubo de dados corporativos colocou algumas das maiores empresas do mundo no centro de um novo alerta de cibersegurança. Um agente de ameaça que utiliza o nome TheHatman afirma ter obtido aproximadamente 3,64 milhões de registros a partir de ambientes Microsoft Azure e Entra de diferentes organizações.
Entre as empresas citadas estão McDonald’s, Vodafone, Tata Consultancy Services (TCS), HCL Technologies, Kyndryl, IHG Hotels & Resorts, Gap, Hexaware Technologies e Wyndham Hotels & Resorts. O criminoso começou a anunciar os conjuntos de dados em fóruns clandestinos no fim de julho.
O ponto mais importante, entretanto, é que não há evidências de uma vulnerabilidade generalizada no Azure. As informações disponíveis indicam que o invasor provavelmente conseguiu entrar nos ambientes utilizando credenciais previamente comprometidas.
McDonald’s concentra maior volume alegado
O maior conjunto de informações atribuído à campanha seria do McDonald’s, com mais de 1,7 milhão de registros.
A TCS aparece com aproximadamente 800 mil, enquanto a Vodafone teria cerca de 425 mil registros associados ao incidente. Outros conjuntos atribuídos às organizações afetadas variam de milhares a centenas de milhares de entradas.
Somados, os bancos anunciados pelo invasor chegam a aproximadamente 3,64 milhões de registros.
Apesar dos números expressivos, eles devem ser tratados como alegações do criminoso, já que nem todas as empresas envolvidas confirmaram publicamente a extensão atribuída aos seus ambientes.
Dados revelam estrutura interna das empresas
O problema vai além de uma lista de nomes e endereços de e-mail.
As amostras analisadas incluem informações como nomes completos, e-mails corporativos, telefones, endereços, cargos, departamentos, IDs de funcionários, relações hierárquicas e participação em grupos internos.
Também teriam sido encontradas informações relacionadas a contas de serviço e contas administrativas privilegiadas.
Esse tipo de dado possui grande valor para criminosos porque funciona praticamente como um mapa da estrutura interna de uma organização.
Com essas informações, um atacante pode identificar executivos, profissionais de TI, administradores e funcionários com acesso a sistemas estratégicos.
Credenciais roubadas podem explicar invasões
Pesquisadores da Hudson Rock analisaram os dados e consideraram que as amostras apresentam características compatíveis com exportações de diretórios corporativos do Azure.
A investigação encontrou ainda credenciais Microsoft associadas a algumas das organizações que haviam sido comprometidas anteriormente por malwares do tipo infostealer.
Infostealers são programas desenvolvidos especificamente para roubar informações de dispositivos infectados, incluindo senhas, cookies de navegador e tokens de sessão.
Esses dados podem posteriormente ser comercializados em mercados clandestinos.
Isso cria uma cadeia de ataque particularmente perigosa: o criminoso que invade uma organização não precisa necessariamente ser o mesmo responsável pela infecção original.
Ele pode simplesmente comprar credenciais roubadas anteriormente e utilizá-las para entrar em serviços corporativos na nuvem.
Microsoft Azure não aparece como origem de uma falha geral
A distinção é importante.
As evidências conhecidas até agora não apontam para uma vulnerabilidade que permita comprometer indiscriminadamente clientes do Azure.
A hipótese considerada mais provável envolve contas corporativas comprometidas, embora o vetor inicial exato ainda não esteja definitivamente estabelecido.
Isso transforma o episódio em um alerta importante sobre segurança de identidade.
Empresas podem investir milhões em firewalls, ferramentas de proteção de endpoints e monitoramento de redes, mas uma credencial legítima nas mãos de um criminoso pode permitir que ele passe por diversas dessas barreiras.
Dados podem alimentar ataques muito mais sofisticados
O valor das informações também está no que pode acontecer depois do vazamento.
Conhecendo cargos, departamentos, gestores, funcionários subordinados e contas administrativas, criminosos conseguem desenvolver campanhas de spear phishing e engenharia social extremamente convincentes.
Imagine um atacante sabendo exatamente quem é o diretor financeiro de uma empresa, quem trabalha diretamente para ele e quais funcionários fazem parte da equipe responsável pela infraestrutura de TI.
Essa inteligência pode ser utilizada para falsificar solicitações internas, tentar redefinir credenciais ou atacar funcionários com privilégios elevados.
Em casos mais graves, o acesso inicial pode servir como porta de entrada para ransomware, fraude financeira ou espionagem corporativa.
TCS diz não ter identificado impacto em clientes
Algumas das empresas citadas começaram a se manifestar sobre o episódio.
A TCS afirmou não ter encontrado impacto sobre sistemas ou dados de clientes e indicou que parte das informações atribuídas à companhia pode ser antiga.
Isso reforça a necessidade de cautela ao interpretar os números divulgados pelo próprio invasor.
Em incidentes envolvendo venda de bancos de dados, criminosos frequentemente misturam informações recentes, registros antigos e dados obtidos anteriormente.
A autenticidade de algumas amostras, portanto, não significa automaticamente que todos os milhões de registros anunciados tenham sido roubados em uma única campanha recente.
Caso reforça problema crescente dos infostealers
Independentemente da dimensão final confirmada, o episódio demonstra uma transformação importante no cenário de ameaças.
Credenciais corporativas tornaram-se um dos ativos mais valiosos do cibercrime.
Malwares especializados conseguem coletar enormes volumes de logins e sessões autenticadas, que posteriormente são vendidos ou reutilizados por outros grupos.
Por isso, apenas exigir senha e até mesmo algumas formas tradicionais de autenticação multifator pode não ser suficiente em determinados cenários.
Organizações precisam combinar MFA resistente a phishing, políticas de acesso condicional, monitoramento de sessões, proteção de endpoints e análise contínua de atividades suspeitas.
O episódio envolvendo TheHatman mostra justamente como o roubo de uma identidade digital pode acabar abrindo caminho para a exposição de milhões de registros corporativos sem que seja necessário descobrir uma vulnerabilidade inédita na plataforma de nuvem.
