Uma campanha de exfiltração de dados em larga escala está ocorrendo na dark web, onde um ator malicioso vende sistematicamente diretórios internos de funcionários roubados de algumas das maiores corporações do mundo. A investigação da Hudson Rock aponta para o uso de credenciais comprometidas para acessar tenants do Azure e Entra, expondo informações sensíveis de milhões de colaboradores.
Escopo da campanha e vítimas identificadas
O vendedor, operando sob o pseudônimo "TheHatman", afirma ter extraído esses registros diretamente dos tenants Azure e Entra das organizações vítimas utilizando credenciais comprometidas, e o volume de dados oferecido é impressionante. Ao longo da última semana, TheHatman inundou fóruns subterrâneos com listagens de pelo menos nove empresas de nível Fortune 500, abrangendo serviços de TI, hospitalidade, telecomunicações, varejo e logística.
A McDonald’s Corporation lidera a lista com mais de 1,7 milhão de registros expostos, seguida pela Tata Consultancy Services com cerca de 800.000, Vodafone com aproximadamente 425.000 e HCL Technologies com cerca de 250.000. Outras vítimas incluem o InterContinental Hotels Group com cerca de 185.000 registros, Kyndryl com 170.000, Gap Inc. com 80.000, Hexaware Technologies com 20.000 e Wyndham Hotels com 9.000.
A escala deste incidente destaca a vulnerabilidade de grandes corporações multinacionais que dependem de infraestrutura de nuvem pública para gestão de identidade e acesso. A concentração de vítimas em grandes empresas sugere um alvo estratégico, focado em organizações com grandes bases de dados de funcionários e acesso a sistemas críticos.
Detalhes técnicos do vazamento de dados
Os pesquisadores da Hudson Rock, que revisaram conjuntos de dados amostrais, afirmam que as informações parecem altamente credíveis, citando domínios de e-mail corporativo e estruturas de campos que se alinham precisamente com exportações padrão de diretório do Azure. Os conjuntos de dados vazados seguem consistentemente o mesmo modelo, contendo campos essenciais como nomes completos, endereços de e-mail corporativo extraídos de domínios de empresas ativas e estruturas onmicrosoft.com específicas do tenant, números de telefone e endereços físicos.
Além dos detalhes de contato básicos, os dumps expõem dados organizacionais como IDs de funcionários, cargos, departamentos, atribuições de gerentes e subordinados diretos. O aspecto mais alarmante é a inclusão de informações de acesso e mapeamento de grupos, incluindo detalhes de contas de serviço e, em alguns casos, listagens de contas de Administrador Global. Expor esse tipo de dados de conta privilegiada oferece aos atacantes um roteiro pronto para spear-phishing, engenharia social e escalonamento de privilégios direcionado.
A estrutura dos dados vazados permite que os criminosos construam perfis detalhados dos funcionários, facilitando a personalização de ataques de engenharia social. A presença de IDs de funcionários e hierarquias organizacionais torna as comunicações fraudulentas muito mais convincentes, pois os atacantes podem se passar por gerentes ou membros da equipe de TI com autoridade aparente.
Vetores de ataque e métodos de exploração
O que permanece incerto é exatamente como as intrusões ocorreram. TheHatman disse repetidamente que os dados foram obtidos "usando credenciais comprometidas", mas o ponto de entrada preciso ainda não foi confirmado, segundo a Hudson Rock. Explicações possíveis incluem malware infostealer colhendo tokens de sessão diretamente das máquinas dos funcionários, campanhas de phishing que renderam acesso de nível administrativo, tenants sem aplicação estrita de autenticação multifator ou abuso de uma API de terceiros ou integração com permissões de leitura excessivamente amplas.
A velocidade e a consistência dos dumps apontam para um processo sistemático, provavelmente automatizado, uma vez que os pontos de apoio iniciais foram estabelecidos. Para reforçar a teoria do infostealer, pesquisadores da Hudson Rock identificaram credenciais do Azure comprometidas ligadas a infecções de infostealer associadas à maioria das empresas afetadas, incluindo máquinas rastreadas a funcionários da TCS, Gap Inc., HCL Technologies e Kyndryl.
Um dispositivo comprometido supostamente continha dezenas de credenciais corporativas e centenas de cookies de sessão sensíveis, incluindo acesso direto a uma conta do Azure Active Directory da Kyndryl. O fato de apenas grandes multinacionais aparecerem nesta campanha, em vez de uma ampla seção transversal de pequenas empresas, sugere exploração direcionada de credenciais roubadas em vez de uma vulnerabilidade subjacente na plataforma Azure.
Riscos operacionais e implicações para a segurança
O risco real vai muito além do vazamento inicial. Atores maliciosos rotineiramente armam dados estruturados de diretório como este para executar operações convincentes de comprometimento de e-mail empresarial e operações de spear-phishing, usando linhas de relatório precisas e cargos para se passar por gerentes ou equipe de TI e enganar funcionários para aprovar transferências fraudulentas ou entregar códigos MFA.
A exposição de contas de serviço e nomes de administradores também funciona como um mapa de direcionamento para corretores de acesso inicial e equipes de ransomware que procuram a rota mais rápida para infraestruturas críticas. A combinação de dados de contato, hierarquia e credenciais de acesso cria um cenário de risco elevado para a continuidade dos negócios e para a integridade dos sistemas.
Além disso, a exposição de contas de serviço pode permitir que atacantes automatizem ações maliciosas dentro do ambiente Azure, como a criação de novos usuários, a alteração de políticas de acesso ou a exfiltração de dados adicionais sem a necessidade de interação humana direta. Isso aumenta a velocidade e a eficiência dos ataques subsequentes.
Impacto regulatório e conformidade (LGPD)
Para as empresas brasileiras afetadas ou que operam no Brasil, este incidente levanta questões significativas sobre conformidade com a Lei Geral de Proteção de Dados (LGPD). A exposição de dados pessoais de funcionários, incluindo nomes, e-mails, telefones e endereços, configura um incidente de segurança que deve ser reportado à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares dos dados, conforme exigido pela legislação.
A natureza transnacional do incidente, envolvendo empresas globais, pode complicar as obrigações de notificação, exigindo coordenação entre as equipes de segurança e conformidade em diferentes jurisdições. A falha em proteger adequadamente as credenciais de acesso pode ser interpretada como uma violação dos princípios de segurança e prevenção previstos na LGPD, potencialmente resultando em multas e sanções administrativas.
Além disso, a exposição de dados de funcionários pode impactar a reputação da empresa e a confiança dos colaboradores, que podem questionar a capacidade da organização de proteger suas informações pessoais. A transparência na comunicação do incidente e as medidas corretivas adotadas são fundamentais para mitigar danos à imagem e manter a conformidade regulatória.
Recomendações para CISOs e equipes de SOC
As organizações devem tratar este incidente como um lembrete de que a higiene de credenciais, não apenas a defesa de perímetro, agora determina a exposição. O monitoramento contínuo de credenciais comprometidas por infostealer, a aplicação obrigatória de MFA em todos os portais de tenant e a análise mais rigorosa das permissões de API de terceiros são etapas essenciais para fechar a lacuna antes que os atacantes a explorem.
Recomenda-se a implementação de políticas de acesso de privilégio mínimo (PAM) para contas de serviço e administradores, garantindo que apenas as permissões necessárias sejam concedidas. A revisão regular das permissões de API e integrações de terceiros deve ser parte integrante do ciclo de vida de segurança da informação.
Além disso, a adoção de soluções de detecção de ameaças que utilizam inteligência artificial para identificar comportamentos anômalos no acesso ao Azure pode ajudar a detectar intrusões em tempo real. A capacitação contínua dos funcionários sobre phishing e engenharia social é crucial para reduzir a superfície de ataque inicial.
Perguntas frequentes
Como saber se minha empresa foi afetada? Monitore os fóruns da dark web e serviços de monitoramento de credenciais comprometidas. Verifique se há logs de acesso incomuns no Azure Active Directory e revise as permissões de API.
Qual é o risco principal? O risco principal é o uso dos dados para ataques de spear-phishing e comprometimento de contas, levando a vazamentos adicionais de dados ou ataques de ransomware.
Como mitigar o risco? Force a redefinição de senhas para todos os usuários, ative o MFA obrigatório, revise as permissões de API e monitore o tráfego de rede em busca de atividades suspeitas.
Isso afeta a LGPD? Sim, a exposição de dados pessoais de funcionários exige notificação à ANPD e aos titulares, conforme as diretrizes da lei brasileira.
Qual o papel do infostealer? O infostealer é o malware responsável por coletar credenciais e tokens de sessão das máquinas dos funcionários, permitindo o acesso não autorizado aos tenants do Azure.