Kradzież danych z Azure u firm z Fortune 500: 1,7 miliona rekordów pracowników McDonald's wystawionych na sprzedaż

Jeden sprzedawca po cichu licytuje wewnętrzne katalogi pracowników dziewięciu globalnych korporacji. Nie potrzebował żadnego zero-daya — wystarczyły skradzione hasła.

W ciągu ostatnich trzech tygodni aktor zagrożeń występujący pod pseudonimem „TheHatman” zalał kilka forów cyberprzestępczych ofertami wewnętrznych katalogów pracowników, rzekomo pozyskanych ze środowisk Microsoft Azure i Entra ID jednych z największych firm na świecie. Największa pojedyncza oferta dotyczy ponad 1,7 miliona rekordów pracowników McDonald's.

Ta historia jest mniej ważna ze względu na nazwy marek, a bardziej ze względu na stojącą za nią metodę. Według sprzedawcy i badaczy, którzy przeanalizowali próbki, nie była to eksploatacja błędu w chmurze Microsoftu. Wykorzystano prawidłowe dane logowania, które nigdy nie powinny były trafić w ręce przestępców, a po wejściu do środka — nadużyto całkowicie zwyczajnej funkcji administracyjnej.

Co się stało

Od 31 lipca 2026 roku TheHatman zaczął publikować stały ciąg ofert danych na forach takich jak DarkForum, PwnForums oraz serwisach będących następcami BreachForums. Do 16 sierpnia w ofertach pojawiło się dziewięć organizacji, a łączna deklarowana liczba rekordów wynosi około 3,64 miliona (BleepingComputer).

Reklamowane zbiory danych, według deklarowanej wielkości:

Organizacja	Deklarowana liczba rekordów
McDonald's Corporation	1 700 000+
Tata Consultancy Services (TCS)	800 000+
Vodafone	425 000+
HCL Technologies	250 000+
InterContinental Hotels Group (IHG)	185 000+
Kyndryl	170 000+
Gap Inc.	80 000+
Hexaware Technologies	20 000+
Wyndham Hotels & Resorts	9 000+

W ofercie dotyczącej McDonald's sprzedawca opisał dane jako „pobrane bezpośrednio z tenanta Azure przy użyciu przejętych poświadczeń”. To samo sformułowanie pojawia się w większości pozostałych ofert. Dla zbioru McDonald's nie podano stałej ceny — kupujący są zachęcani do składania ofert, co jest typowe dla prywatnej sprzedaży na tych forach.

Aby udowodnić wartość towaru, TheHatman dołączył do każdej oferty darmowe próbki. W przypadku McDonald's próbka liczyła około 8000 wierszy — mniej niż pół procent deklarowanej liczby.

Co ustalili badacze

Firma wywiadowcza zajmująca się cyberprzestępczością Hudson Rock, która jako pierwsza opublikowała informacje o tej kampanii, oceniła dane jako wysoce prawdopodobnie autentyczne, wskazując na firmowe adresy e-mail i nazwy pól zgodne ze standardowym eksportem katalogu Azure. Niezależna analiza próbki McDonald's przeprowadzona przez Ransomnews doprowadziła do podobnego wniosku: nagłówki kolumn odpowiadają nazwom właściwości, które generuje własne narzędzie PowerShell firmy Microsoft przy eksporcie listy użytkowników z Entra ID, a wszystkie 50 domen e-mail w próbce potwierdzono jako prawdziwe domeny McDonald's. Obecność wewnętrznego adresu tenanta mcdonaldscorp.onmicrosoft.com — niewidocznego publicznie i niemożliwego do odgadnięcia — jest jednym z najmocniejszych wskaźników, że plik pochodzi z wnętrza organizacji (Ransomnews, za Security Affairs).

Co pozostaje niepotwierdzone

Ważne zastrzeżenia, które warto sformułować wprost:

Żaden większy serwis nie zweryfikował niezależnie pełnych zbiorów danych. BleepingComputer wyraźnie stwierdził, że nie mógł potwierdzić autentyczności.
Wiek danych jest nieznany. Próbka McDonald's nie zawiera żadnych pól z datami — ani daty utworzenia, ani ostatniego logowania. Jedyną wskazówką co do daty jest brak jakichkolwiek rosyjskich rekordów, co jest zgodne z wycofaniem się McDonald's z tego rynku w 2022 roku i umieszcza eksport gdzieś w 2023 roku lub później. To szeroki przedział, a nie data.
Liczba 1,7 miliona nie została zweryfikowana. Próbka licząca 8000 wierszy nie może jej uzasadnić, a sprzedawca prowadzący handel hurtowy ma oczywistą motywację, by zaokrąglać w górę.
Dwie wymienione firmy publicznie zakwestionowały te twierdzenia. TCS poinformował Narodową Giełdę Papierów Wartościowych Indii (NSE) 10 sierpnia, że nie znalazł wiarygodnych dowodów naruszenia swoich systemów ani środowisk klientów, stwierdził, że informacje wydają się mieć ponad cztery lata i ograniczać się do podstawowych danych pracowników, oraz oświadczył, że od ponad dwóch lat stosuje zabezpieczenia przed password spraying i MFA fatigue. Gap Inc. poinformował BleepingComputer, że wstępne dochodzenie wykazało, iż dane są ograniczone w zakresie, niewrażliwe, kilkuletnie i że nie ma dowodów na naruszenie systemów korporacyjnych.

W momencie pisania tego tekstu McDonald's nie wydał publicznego oświadczenia w sprawie tej oferty.

Jak działa ten atak

Nie ma dowodów na istnienie luki w Azure ani Entra ID. Zrozumienie mechaniki ma znaczenie, ponieważ obrona wygląda zupełnie inaczej w zależności od tego, o który przypadek chodzi.

Krok 1️⃣ — Poświadczenia zostają skradzione gdzie indziej. Hudson Rock poinformował, że zidentyfikował przejęte poświadczenia Azure powiązane z infekcjami infostealerami na maszynach związanych z pracownikami kilku z wymienionych firm, w tym TCS, Gap Inc., HCL Technologies i Kyndryl. Infostealer to lekkie złośliwe oprogramowanie, które trafia na komputer pracownika — zwykle przez złamaną aplikację, złośliwe pobranie lub przynętę phishingową — i zbiera wszystko, co przeglądarka ma zapisane: hasła i, co kluczowe, pliki cookie sesji. Jedno przejęte urządzenie zawierało podobno dziesiątki poświadczeń firmowych i setki plików cookie sesji, w tym bezpośredni dostęp do konta Kyndryl Azure Active Directory.

Pliki cookie sesji zasługują na szczególne podkreślenie. Skradziony plik cookie reprezentuje już uwierzytelnioną sesję. Odtworzenie go w przeglądarce atakującego może zapewnić dostęp bez podawania hasła — i, w zależności od konfiguracji, bez ponownego wywołania uwierzytelniania wieloskładnikowego. Dlatego odpowiedź „mamy MFA” jest niepełna wobec tej klasy ataków.

Krok 2️⃣ — Katalog zostaje wyeksportowany. Po wejściu do tenanta z prawidłowym kontem atakujący nie musi już niczego łamać. Microsoft Entra ID to firmowa książka adresowa, a jej odczyt to rutynowa, wspierana, rejestrowana w logach, ale rzadko alarmująca czynność. Standardowy eksport w PowerShell — taka komenda, jaką administrator IT mógłby legalnie uruchomić w zwykły wtorek — tworzy dokładnie taką strukturę pliku, jaką widać w tych próbkach. Określa się to mianem „living off the land”: wykorzystywania własnych, legalnych narzędzi organizacji, tak aby aktywność wtapiała się w normalne operacje.

Istotny szczegół konfiguracji: w wielu tenantach Entra każdy uwierzytelniony użytkownik może domyślnie odczytać cały katalog. Pojedyncze przejęte konto młodszego pracownika może więc wystarczyć do wyliczenia całej załogi, w tym kadry zarządzającej i administratorów.

Krok 3️⃣ — Dane zostają spieniężone. Katalogi są reklamowane, próbki udostępniane, a kupcy zagadywani prywatnie.

Hudson Rock wyraźnie zaznaczył, że dokładny wektor włamania nie został ostatecznie ustalony. Obok infekcji infostealerami prawdopodobne wyjaśnienia obejmują skuteczny phishing zapewniający dostęp administracyjny, luki w egzekwowaniu MFA na wybranych portalach tenanta lub nadużycie integracji zewnętrznej z nadmiernymi uprawnieniami odczytu w wielu środowiskach. To, że ofiarami są wyłącznie bardzo duże korporacje międzynarodowe — a nie losowy przekrój obejmujący małe firmy — wskazuje raczej na ukierunkowane użycie skradzionych poświadczeń niż na lukę na poziomie platformy.

Dlaczego to ważne

Istnieje powszechna i niebezpieczna reakcja na takie naruszenia: to tylko imiona i nazwiska oraz stanowiska — żadnych haseł, kart płatniczych ani danych zdrowotnych. Niska waga.

Takie podejście mija się z istotą sprawy. Firmowy katalog to nie lista danych kontaktowych. To mapa organizacji.

We wszystkich dotkniętych tenantach wyciekłe pola konsekwentnie obejmują (Hudson Rock):

Tożsamość i kontakt: imię i nazwisko, firmowy adres e-mail, User Principal Name, numer telefonu, fizyczny adres biura
Struktura organizacyjna: identyfikator pracownika, stanowisko, dział, przełożony, podwładni, notatki wewnętrzne
Mapowanie dostępu: członkostwa w grupach użytkowników, konta usługowe i listy Global Administratorów

Ta ostatnia kategoria jest najpoważniejsza. Wiedza o tym, kto ma uprawnienia Global Administratora, mówi atakującemu dokładnie, na które kilka osób spośród 1,7 miliona warto wycelować. Znajomość linii podległości mówi, czyje nazwisko podrobić w polu „od”. Znajomość działu mówi, jaka faktura, jaki system i jaka prośba będą wyglądać wiarygodnie.

Dane z katalogu nie muszą być sprzedane, by były niebezpieczne. Zamieniają masową, chaotyczną kampanię phishingową w precyzyjną operację.

Kogo to dotyczy

Pracowników dziewięciu wymienionych organizacji, obecnych i — biorąc pod uwagę niepewny wiek danych — prawdopodobnie byłych. Próbka McDonald's obejmuje ponad trzydzieści krajów i dotyczy pracowników korporacyjnych, załogi restauracji, właścicieli franczyz oraz kont gości od dostawców — co oznacza, że ekspozycja może wykraczać poza bezpośrednich pracowników na sieć franczyzobiorców i dostawców.
Same organizacje, które stoją teraz w obliczu podwyższonego ryzyka przejęcia korespondencji biznesowej (BEC), phishingu poświadczeń i socjotechniki wobec helpdesku, skierowanych przeciw załodze, której struktura jest udokumentowana w rękach atakującego.
Każdej organizacji korzystającej z Microsoft Entra ID, czyli większości przedsiębiorstw. Zastosowane tu techniki są uniwersalne. Dziewięć nazw w tych ofertach jest godnych uwagi z powodu swojej wielkości, a nie jakiejś wyjątkowej słabości.

Co atakujący mogą zrobić z tymi danymi

Ukierunkowany spear phishing. E-mail wykorzystujący Twój prawdziwy identyfikator pracownika, nazwisko prawdziwego przełożonego i Twój prawdziwy dział jest znacznie bardziej przekonujący niż ogólna przynęta.
Przejęcie korespondencji biznesowej (BEC). Relacje przełożony–podwładny są zmapowane, co ułatwia przekonujące zainscenizowanie fałszywych próśb o płatność lub poświadczenia.
Ataki na helpdesk i vishing. Identyfikator pracownika, lokalizacja biura i nazwisko przełożonego to często dokładnie te pola, które służą do weryfikacji tożsamości dzwoniącego podczas resetowania hasła lub MFA. Wyciekły katalog jest w istocie kluczem odpowiedzi.
Planowanie eskalacji uprawnień. Listy Global Administratorów i kont usługowych wskazują niewielki zbiór kont wartych największego wysiłku.
Credential stuffing i przejmowanie kont. Potwierdzone formaty UPN dają atakującym prawidłowe nazwy użytkowników, które można połączyć z hasłami wyciekłymi gdzie indziej.
Podszywanie się i oszustwa wymierzone w osoby prywatne, w tym oszustwa rekrutacyjne, próby przekierowania wynagrodzeń i phishing związany z tematyką HR.

Co powinny zrobić organizacje

✅ Wzmocnienie ochrony tożsamości

Ogranicz domyślne uprawnienia odczytu katalogu w Entra ID. Ustaw opcję Restrict access to Microsoft Entra administration portal i zaostrz domyślne uprawnienia użytkowników, aby zwykłe konta i goście nie mogli wyliczać całego katalogu. Samo to zmienia pojedyncze przejęte konto o niskich uprawnieniach z naruszenia całej załogi w naruszenie ograniczone.
Wdróż MFA odporne na phishing — klucze bezpieczeństwa FIDO2 lub uwierzytelnianie oparte na certyfikatach — dla wszystkich administratorów i tak szeroko, jak to praktycznie możliwe, także poza nimi. MFA oparte na powiadomieniach push pozostaje podatne na ataki typu fatigue.
Włącz ochronę tokenów i ciągłą ocenę dostępu w dostępie warunkowym (Conditional Access), aby skradzione pliki cookie sesji nie mogły być po prostu odtwarzane z nieznanego urządzenia ani lokalizacji.
Audytuj konta uprzywilejowane. Zredukuj stałych Global Administratorów do niezbędnego minimum, przejdź na podnoszenie uprawnień just-in-time za pomocą Privileged Identity Management i zinwentaryzuj każde konto usługowe — do czego ma dostęp i czy nadal powinno istnieć.

✅ Wykrywanie

Ustaw alerty na masowy odczyt katalogu. Wyliczanie dużej liczby obiektów użytkowników przez Microsoft Graph lub PowerShell powinno generować alert, zwłaszcza poza oknami zmian lub z nietypowych adresów IP źródłowych. To jedyne wykrycie, które najprawdopodobniej przyłapałoby tę kampanię w trakcie jej trwania.
Przejrzyj logi logowania pod kątem niemożliwych podróży, nietypowych właściwości logowania i prób uwierzytelniania starszymi metodami z ostatnich 12–24 miesięcy, zważywszy że dane mogą mieć znacznie ponad rok.

✅ Punkty końcowe i łańcuch dostaw

Traktuj infekcje infostealerami jako incydenty tożsamości, a nie incydenty złośliwego oprogramowania. Wyczyszczenie maszyny nie jest naprawą. Każde poświadczenie i każdy token sesji na tym urządzeniu należy uznać za przejęte: zmień hasła i unieważnij aktywne sesje — to krok najczęściej pomijany.
Monitoruj ujawnione poświadczenia firmowe w logach infostealerów i na rynkach przestępczych, za pomocą usługi threat intelligence lub własnych zasobów.
Rozszerz te wymagania na franczyzobiorców, dostawców i podwykonawców z dostępem do tenanta. W próbce McDonald's pojawiły się konta gości i dostawców.

✅ Ludzie

Ostrzeż pracowników bezpośrednio i konkretnie. Powiedz im, że wysoce spersonalizowana fala phishingu jest prawdopodobna, że prawdziwy dział IT nigdy nie poprosi o poświadczenia ani kody MFA, i daj im kanał weryfikacji — wewnętrzny numer, na który można oddzwonić — w przypadku każdej nieoczekiwanej prośby dotyczącej pieniędzy, poświadczeń lub dostępu.
Wzmocnij weryfikację w helpdesku. Jeśli Twoje pytania weryfikujące tożsamość opierają się na identyfikatorze pracownika, lokalizacji biura lub nazwisku przełożonego, te odpowiedzi mogą już krążyć w obiegu. Przejdź na weryfikację przez oddzwonienie lub oddzielny przepływ oparty na aplikacji uwierzytelniającej.

‼️ Dla osób, których dane mogą być uwzględnione: spodziewaj się wzrostu liczby przekonujących wiadomości phishingowych związanych z pracą, podchodź sceptycznie do nieoczekiwanych wiadomości odwołujących się do prawdziwych szczegółów Twojej pracy, nigdy nie zatwierdzaj monitu MFA, który nie pochodzi od Ciebie, i zgłaszaj podejrzane kontakty zespołowi bezpieczeństwa swojego pracodawcy, zamiast po prostu je usuwać.

Na koniec

Najbardziej pouczającym szczegółem tej kampanii jest to, jak mało zaawansowania wydaje się ona wymagać. Żadnego zero-daya, żadnego nowatorskiego złośliwego oprogramowania, żadnych egzotycznych technik — tylko działające poświadczenia i polecenie, które Microsoft publicznie dokumentuje.

W środowiskach chmurowych prawidłowe poświadczenia są obwodem bezpieczeństwa, a eksport katalogu nie jest zdarzeniem o niskiej wadze. Przedsiębiorstwa zainwestowały ogromne środki w zapobieganie włamaniom, nadal traktując jednak własną książkę adresową jako nieszkodliwą wewnętrzną infrastrukturę, którą każde uwierzytelnione konto może odczytać w całości. Atakujący od dawna rozumieją, że katalog to faza rozpoznania kolejnego ataku, dostarczona w gotowym pakiecie.

Z tego incydentu płyną dwa praktyczne działania, niezależnie od tego, czy Twoja organizacja została wymieniona w ofertach: ogranicz, kto może odczytywać Twój katalog, i ustaw alert, gdy ktoś odczytuje go w całości. Obie rzeczy to zmiany konfiguracji, a nie zakupy, i każda z nich znacznie utrudniłaby tę kampanię.