Datele a până la 1,7 milioane de angajați McDonald’s sunt scoase la vânzare pe un forum de date furate - Indiciile tehnice indică un export din Entra ID/Azure, fără parole, dar cu risc crescut de social engineering

Un set de 1,7 milioane de înregistrări cu date despre angajați McDonald’s este scos la vânzare pe piața neagră, iar indiciile tehnice sugerează că informațiile ar proveni din mediul cloud al companiei , potrivit WinFuture . Miza imediată nu este neapărat preluarea de conturi, ci creșterea riscului de fraude țintite (social engineering) pe baza unor detalii interne credibile. Datele ar fi fost extrase dintr-un „tenant” Azure (instanța de cloud a organizației) folosind credențiale compromise, susține vânzătorul, care operează sub pseudonimul „TheHatman”. Acesta a publicat și un eșantion gratuit cu aproximativ 8.000 de intrări, folosit ca „dovadă” pentru oferta dintr-un forum de tranzacționare a datelor furate. Ce indică faptul că setul de date ar fi autentic O analiză tehnică citată de WinFuture (dintr-un raport Ransomnews ) arată mai multe elemente care ar corespunde unui export real din Entra ID (fostul Azure Active Directory), directorul de identități folosit frecvent în companii: fișierul folosește denumiri de coloane tipice instrumentelor Microsoft de export din Entra ID; toate cele 50 de domenii de e-mail identificate în set sunt asociate ecosistemului McDonald’s; apar și trei adrese cu domeniul Microsoft al companiei „mcdonaldscorp.onmicrosoft.com”, dificil de ghicit din exterior; există erori „naturale” de export: în 233 de înregistrări apar caractere corupte din cauza unei codări greșite, iar la 85 de denumiri de funcții textul se taie exact la 30 de caractere, semn al unei limitări tehnice. Totuși, rămân două necunoscute importante: cât de actuale sunt datele și dacă volumul total de 1,7 milioane de înregistrări există în forma revendicată. Setul nu ar conține marcaje temporale care să permită datarea exportului. Ce tip de informații apar și ce lipsește Eșantionul descris include informații despre angajați, conturi de serviciu și alte conturi de utilizator. Conform sursei, nu sunt incluse parole sau „hash-uri” de parole (amprente criptografice ale parolelor). În schimb, tocmai datele de identificare și de contact (nume, poziții, numere de telefon, structuri interne de e-mail) pot fi suficiente pentru atacuri credibile de tip phishing sau apeluri frauduloase, în care atacatorii se prezintă drept colegi, suport IT sau parteneri. Context: posibilă campanie mai largă Cazul ar putea face parte dintr-o acțiune repetitivă: același cont ar fi publicat, în 16 zile, nouă oferte care însumează circa 3,6 milioane de înregistrări, vizând și alte companii (inclusiv Vodafone și Gap, plus firme din zona hotelieră și IT). Structura similară a ofertelor sugerează reutilizarea aceleiași metode, iar scenariul considerat cel mai probabil este furtul în masă de credențiale prin malware de tip „infostealer” (software care colectează parole și sesiuni din dispozitive infectate). Pentru organizații, un astfel de incident înseamnă, operațional, presiune pe verificarea accesului la mediile cloud și pe măsuri anti-phishing, iar pentru angajați un risc crescut de a primi contacte „personalizate” care folosesc informații reale din interiorul companiei. [...]