McDonald’s, Vodafone и други големи компании са станали мишена на кампания за кражба на идентификационни данни от Azure. Хакер е залял подземните форуми с набори от данни за продажба, за които се твърди, че са откраднати от облачните среди на Microsoft Azure и Entra на някои от най-големите компании в света, разкривайки информация, която би могла да помогне на престъпниците да се насочат към служителите.
Хакерът, известен под псевдонима TheHatman е публикувал данни, свързани с поне 9 големи компании в подземни форуми през изминалата седмица, включително:
McDonald’s Corporation: 1 700 000 записа;
TCS (Tata Consultancy Services): 800 000 записа;
Vodafone: 425 000 записа;
HCL Technologies: 250 000 записа;
InterContinental Hotels Group (IHG): 185 000 записа;
Kyndryl: 170 000 записа;
Gap Inc.: 80 000 записа;
Hexaware Technologies: 20 000 записа;
Wyndham Hotels: 9 000 записа.
За да подкрепи твърденията си, хакерът сподели образци от данните. Въпреки че линкът за изтегляне на образците от данните на McDonald’s не работеше, изследователите от Cybernews провериха записите на другите компании и разкриха какъв вид данни може да се съдържат в предполагаемите откраднати набори от данни.
Примерните записи в списъците включват:
Имейли на служители; Телефонни номера; Длъжности; Пълни имена; Адреси на работното място; Идентификационни номера на служители; Отдели, бележки, данни за мениджъри и пряко подчинени; Членство в потребителски групи; Служебни акаунти; Записи за акаунти с високи привилегии, като например списъци на глобални администратори.
Компаниите и служителите са изложени на риск от атаки чрез социално инженерство
Последствията за отделните лица са повишен риск от атаки чрез социално инженерство. Компрометираните идентификационни данни може би вече са сменени, но ако това не е станало, те биха могли да бъдат използвани за по-нататъшно извличане на данни. Нападател, разполагащ с точна информация за служителите, мениджърите, отделите и йерархичните структури на дадена организация, може да създаде изключително убедителни фишинг съобщения.
Например, потенциален злоумишленик би могъл да се представи за мениджър на даден служител или за ИТ администратор и да използва реални данни за организацията, за да придаде легитимен вид на дадено искане.
Възможно е нападателите да са използвали програми за кражба на информацияЗаписите в данните съответстват на експортирани данни от директорията на Azure. Точният метод, използван за достъп до компаниите, остава неясен. TheHatman твърди, че информацията е била получена чрез компрометирани идентификационни данни.
Програмите за кражба на информация (инфостийлъри) са злонамерени програми, предназначени да крадат информация от заразени компютри, включително пароли, данни от браузъра и сесийни „бисквитки“. Откраднатата сесийна информация понякога може да позволи на нападателите да получат достъп до онлайн услуги, без да се налага да въвеждат отново паролата на жертвата.
Общността по киберсигурност е възмутенаМащабът на кампанията предизвика критики от страна на общността по киберсигурност, която твърди, че инцидентът илюстрира колко пагубни могат да бъдат откраднатите идентификационни данни и токени за сесия, дори когато компаниите разполагат с многофакторна автентификация. Някои специалисти по сигурност изразиха мнение в Reddit, че нападателите изобщо не се нуждаят от експлоатиране на сложна уязвимост. Вместо това откраднатите идентификационни данни или сесийни токени, получени чрез зловреден софтуер за кражба на информация, биха могли да осигурят достатъчен достъп за извличане на цели корпоративни директории.