一场规模庞大的Azure数据外泄行动正在暗网上展开。一名攻击者正在系统性地出售从全球多家大型企业窃取的内部员工目录。
Part01
大规模售卖：
至少九家世界500强企业上榜
卖家化名“TheHatman”，声称利用失陷凭证直接从受害组织的Azure和Entra租户中提取了这些记录，其提供的数据量之大令人震惊。
过去一周，TheHatman在多个地下论坛发布了大量数据售卖帖，涉及至少九家世界500强级别企业，涵盖IT服务、酒店、电信、零售和物流等行业。
麦*劳公司位列榜首，暴露记录超过170万条；其次是塔塔咨询服务，约80万条；沃*丰约42.5万条；H*L科技约25万条。
其他受害者还包括洲*酒店集团，约18.5万条记录；Kyndryl约17万条；盖*约8万条；Hexaware科技约2万条；温*姆酒店约9000条。
Part02
Azure凭证窃取攻击：
数据高度可信，攻击入口仍成谜
Hudson Rock的研究人员对样本数据集进行了审查，称这些信息可信度极高，因为企业电子邮件域名和字段结构与标准Azure目录导出格式完全吻合。
泄露数据集始终遵循相同的模板。核心字段包括全名、企业邮箱地址（同时涵盖活跃的企业域名和租户专属的onmicrosoft.com域结构）、电话号码以及实际地址。除基本联系信息外，这些数据还暴露了员工ID、职位、部门、直属主管和下属员工等组织信息。
最令人警惕的是，其中还包含访问权限与组映射信息，包括服务账户详情，部分数据甚至列出了全局管理员账户。暴露这类特权账户数据，等于为攻击者提供了一份现成的鱼叉式钓鱼、社会工程学和定向权限提升攻击蓝图。
目前尚不清楚入侵究竟是如何发生的。Hudson Rock表示，TheHatman多次宣称数据是通过“使用失陷凭证”获得的，但确切的入侵入口仍未得到证实。
可能的解释包括：信息窃取型恶意软件直接从员工设备上窃取会话令牌；钓鱼攻击获得了管理员级访问权限；租户未强制执行严格的多因素认证（MFA）；或第三方API或集成被滥用，且拥有过于宽泛的读取权限。从数据泄露的速度和一致性来看，一旦攻击者建立初始立足点，整个流程就具有系统性和高度自动化特征。
Hudson Rock的研究人员指出，支持信息窃取木马这一推测的证据是，他们识别出与大多数受影响企业相关联的失陷Azure凭证，均与信息窃取木马感染有关，其中涉及可追溯到TCS、Gap、HCL科技和Kyndryl员工设备的感染记录。
据报道，一台失陷设备中包含数十条企业凭证和数百个敏感会话Cookie，甚至可直接访问一个Kyndryl的Azure Active Directory账户。此次攻击的目标仅限于大型跨国企业，而非广泛的中小企业群体。这一事实表明，攻击者是在有针对性地利用窃取的凭证，而非Azure平台自身存在漏洞。
Part03
现实风险远超初始泄露
防御需多管齐下
这里的现实风险远不止最初的数据泄露。威胁行为者经常将此类结构化目录数据武器化，用于实施极具迷惑性的商业电子邮件欺诈（BEC）和鱼叉式钓鱼攻击。他们利用准确的汇报关系和职位信息冒充经理或IT人员，诱骗员工批准欺诈性转账或交出MFA验证码。
此外，服务账户和管理员姓名的暴露，也为初始访问代理和勒索软件团伙提供了一张目标地图，帮助他们找到进入关键基础设施的最快路径。
各组织应将此次事件视为一个提醒：决定数据暴露风险的已不仅仅是边界防御，凭证卫生同样至关重要。持续监控已被信息窃取木马攻陷的凭证、在所有租户门户强制执行MFA，并加强对第三方API权限的审查，这些都是关键举措，能够在攻击者利用漏洞之前及时弥补差距。
来源：freebuf
麦*劳、沃*丰遭Azure凭证窃取攻击，数百万条企业记录泄露
发布日期：2026-08-21
领取优惠
提交成功！