概要
マクドナルドやVodafone、Kyndrylなど大手企業9社が、侵害されたAzure認証情報を悪用した大規模なデータ窃取キャンペーンの被害を受けたことが判明した。攻撃者は「TheHatman」というハンドルネームでダークウェブフォーラムに出没しており、侵害した認証情報を使ってAzure/Entraポータルから直接従業員データをダウンロードしたと主張している。被害企業と流出件数は、マクドナルドが約170万件、Tata Consultancy Services(TCS)が約80万件、Vodafoneが約42万5,000件、HCL Technologiesが約25万件、IHGが約18万5,000件、Kyndrylが約17万件、Gap Inc.が約8万件、Hexawareが約2万件、Wyndham Hotelsが約9,000件と、合計で数百万件規模の企業内部データが対象になったとされる。
窃取されたデータと悪用リスク
流出したデータには、従業員の氏名、企業メールアドレス、電話番号、物理住所に加え、従業員ID、職務、所属部門、マネージャー情報といった組織構造を示す情報が含まれる。特に懸念されているのは、サービスアカウントやグローバル管理者アカウントに関する情報が含まれている点で、これが悪用されれば単なる個人情報漏えいにとどまらず、企業システムへの不正アクセスや権限昇格につながる可能性がある。セキュリティ企業Hudson Rockの調査によれば、今回の侵害は情報窃取型マルウェア(インフォスティーラー)によるセッショントークンの窃取と関連している可能性が指摘されているほか、フィッシングキャンペーン、多要素認証(MFA)の未導入、APIの悪用といった侵入経路の可能性も挙げられているが、具体的な侵入手法は依然として特定されていない。
想定される影響
窃取された組織構造データや従業員の連絡先情報は、ビジネスメール詐欺(BEC)やスピアフィッシングキャンペーンの実行に直接利用される恐れがある。攻撃者が従業員の役職やマネージャー関係を把握していることで、なりすましメールの説得力が増し、標的型攻撃の成功率が高まる可能性がある。またサービスアカウントやグローバル管理者情報の流出は、クラウド環境における権限昇格攻撃の足がかりとなりうるため、影響を受けた各社は認証情報のローテーションやアクセス権限の見直しといった追加的な対応を迫られている。
今後の対策
Hudson Rockは、インフォスティーラー感染によって侵害された認証情報を早期に検出する仕組みや、サイバー犯罪インテリジェンスの活用を組織に推奨している。今回の事案は、クラウド管理ポータルへのアクセスにおいて多要素認証を徹底することや、エンドポイントでのマルウェア感染対策、セッショントークンの適切な管理がいかに重要かを改めて示す事例となった。攻撃者による具体的な侵入経路の特定と、被害企業側の詳細な調査結果の公表が今後注目される。