Descoberta e escopo do incidente
Um ator de ameaças que se autodenomina "TheHatman" está vendendo dumps internos de diretórios Azure/Entra de pelo menos nove empresas de nível Fortune 500 em fóruns da dark web. Entre as vítimas confirmadas estão a McDonald’s, com 1,7 milhão de registros, a TCS com aproximadamente 800.000, a Vodafone com cerca de 425.000 e a HCL Technologies com 250.000. Os pesquisadores da Hudson Rock afirmam que os dados — nomes completos, e-mails corporativos, cargos, cadeias de gerência e até listagens de contas de Administrador Global — parecem altamente credíveis e correspondem a modelos padrão de exportação do Azure.
O vetor exato de intrusão não foi confirmado, mas a Hudson Rock vinculou credenciais comprometidas por infostealers à maioria das empresas afetadas. Isso inclui um dispositivo com dezenas de credenciais corporativas e uma conta direta do Azure AD da Kyndryl. Como apenas grandes multinacionais aparecem como vítimas, os pesquisadores suspeitam de abuso direcionado de credenciais em vez de uma falha generalizada na plataforma.
Análise técnica e vetores de ataque
A natureza dos dados vazados sugere que os atacantes obtiveram acesso a contas com privilégios elevados dentro dos diretórios corporativos. O uso de infostealers indica que o comprometimento inicial provavelmente ocorreu através de dispositivos de usuários finais que foram infectados com malware capaz de extrair credenciais armazenadas. Uma vez que as credenciais foram obtidas, os atacantes puderam acessar o Azure AD e exportar dados sensíveis.
A exposição de dados de organograma é particularmente preocupante, pois é ideal para operações de spear-phishing e ataques de Business Email Compromise (BEC). Com informações detalhadas sobre hierarquia e contatos, os criminosos podem personalizar ataques para atingir executivos específicos ou departamentos financeiros, aumentando drasticamente a probabilidade de sucesso.
Impacto e alcance
O impacto deste vazamento é significativo, não apenas pela quantidade de dados expostos, mas pela sensibilidade das informações. A exposição de contas de Administrador Global é um risco crítico, pois concede controle total sobre o ambiente de identidade da organização. Além disso, a correlação de dados de múltiplas empresas pode facilitar ataques em cadeia, onde uma vulnerabilidade em uma empresa parceira ou fornecedor é explorada para acessar a rede principal.
Para as empresas afetadas, o risco de fraude financeira e roubo de propriedade intelectual é imediato. A McDonald’s e a Vodafone, como grandes multinacionais, têm uma presença global, o que significa que os dados vazados podem ser utilizados para ataques direcionados em múltiplos países, complicando a resposta a incidentes e a conformidade regulatória.
Medidas de mitigação recomendadas
As organizações devem adotar as seguintes medidas para mitigar os riscos associados a este vazamento:
- Invalidação de Sessões: Invalidar todas as sessões ativas e forçar a reautenticação para todos os usuários, especialmente administradores.
- Revisão de Permissões: Auditar as permissões de acesso no Azure AD e remover privilégios excessivos, aplicando o princípio do menor privilégio.
- Monitoramento de Tráfego: Implementar monitoramento avançado para detectar atividades anômalas, como exportações de dados em massa ou logins de locais incomuns.
- Proteção de Endpoints: Garantir que todos os dispositivos estejam protegidos com soluções de segurança robustas para prevenir a instalação de infostealers.
- Verificação de Terceiros: Revisar as práticas de segurança de fornecedores e parceiros que possam ter acesso aos sistemas da organização.
Implicações regulatórias e LGPD
Para organizações com operações no Brasil, este incidente levanta questões importantes sobre a conformidade com a Lei Geral de Proteção de Dados (LGPD). A exposição de dados pessoais, incluindo nomes, e-mails e cargos, pode configurar uma violação de dados que exige notificação à Autoridade Nacional de Proteção de Dados (ANPD) e aos titulares afetados.
A responsabilidade pela proteção de dados é compartilhada, e as empresas devem garantir que seus parceiros e fornecedores também estejam em conformidade. A falta de medidas adequadas de segurança pode resultar em multas significativas e danos à reputação. É crucial realizar uma avaliação de impacto à proteção de dados (DPIA) para entender o escopo da violação e as medidas necessárias para mitigar os riscos.
Perguntas frequentes
Como os dados foram vazados? Acredita-se que credenciais comprometidas por infostealers foram usadas para acessar o Azure AD e exportar dados.
Quais empresas estão afetadas? Pelo menos nove empresas de nível Fortune 500, incluindo McDonald’s, Vodafone, TCS e HCL Technologies.
Como proteger minha organização? Invalidar sessões, revisar permissões, monitorar tráfego e proteger endpoints são medidas essenciais.