Alegadamente, os dados foram obtidos a partir de ambientes Microsoft Azure e através da utilização de credenciais de acesso comprometidas. Entre as empresas visadas encontram-se a McDonald’s, Vodafone, Kyndryl e a Tata Consultancy Services (TCS). Algumas organizações, contudo, rejeitam ter sido vítimas de qualquer intrusão.
Desde 31 de Julho, o atacante publica conjuntos de dados em fóruns dedicados ao cibercrime. A maior base de dados, alegadamente proveniente da McDonald’s, contém mais de 1,7 milhões de registos. Seguem-se mais de 800 mil registos da TCS, 425 mil da Vodafone e 250 mil da HCL Technologies.
A lista inclui ainda o InterContinental Hotels Group (185 mil registos), Kyndryl (170 mil), Gap (80 mil), Hexaware Technologies (20 mil) e Wyndham Hotels (9 mil). Segundo o BleepingComputer, o atacante disponibiliza amostras das bases de dados para permitir aos potenciais compradores avaliar o conteúdo.
Estrutura interna das organizações exposta
De acordo com o TheHatman, os conjuntos de dados incluem nomes, endereços de correio electrónico corporativo, números de identificação de funcionários, cargos, contactos telefónicos e moradas. Em alguns casos, terão sido também roubadas contas de serviço e outros dados associados aos inquilinos (tenants) do Azure.
A empresa de cibersegurança Hudson Rock analisou amostras dos dados disponibilizados e concluiu que a sua estrutura corresponde à informação habitualmente encontrada em directórios empresariais. Entre os elementos identificados estão domínios activos, endereços .onmicrosoft.com e referências a contas com privilégios de Administrador Global.
Este tipo de informação pode servir para futuras campanhas maliciosas. O conhecimento sobre cargos, departamentos e contas privilegiadas poderá facilitar ataques de phishing direccionado, usurpação da identidade de gestores ou equipas de TI e outras formas de engenharia social.
Apesar disso, a autenticidade de todos os conjuntos de dados continua por confirmar. A Hudson Rock considera os dados credíveis, mas o BleepingComputer não conseguiu validar as alegações do atacante de forma independente.
TCS e Gap rejeitam alegações
Duas das empresas referidas contestaram publicamente a alegada violação. A TCS afirmou ter investigado o caso sem identificar provas credíveis de comprometimento dos seus sistemas ou dos ambientes dos seus clientes. Segundo a empresa, os dados apresentados terão pelo menos quatro anos e incluem apenas informações básicas sobre colaboradores.
O TheHatman afirma ter recorrido a ataques de força bruta de palavras-passe e de fadiga de autenticação multifactor (MFA) para obter acesso à TCS. Nos ataques de força bruta, os criminosos testam um conjunto limitado de palavras-passe comuns em numerosas contas. Já os ataques de fadiga MFA consistem no envio repetido de pedidos de autenticação a um utilizador, na expectativa de que este aprove um deles por engano.
A TCS garante que adoptou medidas de protecção contra estas técnicas há mais de dois anos.
Também a Gap afirmou não ter encontrado quaisquer indícios de comprometimento dos seus sistemas. A empresa sustenta que os dados divulgados são limitados, não sensíveis e têm vários anos de antiguidade.
Origem dos dados continua por esclarecer
Até ao momento, não existe confirmação de que os dados tenham sido efectivamente extraídos de ambientes Azure durante ataques recentes. Embora o atacante afirme ter utilizado credenciais comprometidas, não foram apresentadas provas independentes que sustentem essa versão.
A Hudson Rock identificou credenciais de acesso ao Azure previamente roubadas por programas de roubo de informação (infostealers) em várias das organizações visadas. Os investigadores admitem, por isso, a possibilidade de essas credenciais terem desempenhado um papel no incidente. No entanto, não foi possível demonstrar que as contas em causa serviram para recolher os dados alegadamente colocados à venda.
Outros cenários possíveis incluem campanhas de phishing, roubo de tokens de sessão ou abuso de integrações com privilégios elevados. Para já, não existem indícios de que uma vulnerabilidade no Microsoft Azure ou no Microsoft Entra esteja na origem da alegada fuga de informação.
