Hacker behauptet Azure-Datenleck bei McDonald's und Vodafone

Ein neues Azure-Datenleck erschüttert die Unternehmenswelt

Ein Bedrohungsakteur behauptet, Millionen von Mitarbeiterdatensätzen aus Microsoft-Azure-Mandanten einiger der größten Unternehmen der Welt gestohlen zu haben, darunter McDonald's, Vodafone, TCS und Kyndryl. Laut einem Bericht von Help Net Security tauchte das angebliche Azure-Datenleck in einem Hacker-Forum auf, wo der Verkäufer interne Mitarbeiterverzeichnisse und damit verbundene Daten anbietet, die aus der von diesen Firmen genutzten Cloud-Infrastruktur stammen.

Bislang sind die Behauptungen von den genannten Unternehmen nicht bestätigt. Das ist eine wichtige Unterscheidung: Ein Hacker, der einen Eintrag in einem Forum veröffentlicht, ist nicht dasselbe wie eine bestätigte Sicherheitsverletzung mit forensischen Beweisen. Aber das Ausmaß der angeblichen Daten, die Berichten zufolge mehrere Fortune-500-Unternehmen gleichzeitig betreffen, ist Grund genug für Sicherheitsteams und die Mitarbeiter, deren Informationen möglicherweise betroffen sind, dem große Aufmerksamkeit zu schenken.

Warum Mitarbeiterdaten, nicht Kundendaten, das Ziel sind

Was diesen Vorfall bemerkenswert macht, ist die Art der angeblich betroffenen Daten. Statt Kundendatensätzen oder Finanzinformationen konzentriert sich das Leck Berichten zufolge auf interne Mitarbeiterverzeichnisse: Namen, Kontaktdaten, Berufsbezeichnungen und andere Personaldaten, die in Azure-Umgebungen gespeichert oder synchronisiert werden. Diese Art von Daten wird bei der Planung der Reaktion auf Sicherheitsverletzungen oft als weniger prioritär behandelt, da sie nicht das gleiche unmittelbare finanzielle Risiko birgt wie Kreditkartennummern oder Gesundheitsdaten. Aber Mitarbeiterdaten sind genau das, was Angreifer benötigen, um überzeugende Phishing-Kampagnen, Business-E-Mail-Kompromittierungsschemata und Social-Engineering-Angriffe gegen genau die Organisationen durchzuführen, von denen sie gestohlen wurden.

Wenn ein Hacker den echten Namen, die Position, die Abteilung und die E-Mail-Adresse eines Mitarbeiters hat, wirkt eine betrügerische Anfrage zum Zurücksetzen eines Passworts oder zur Überweisung von Geldern plötzlich viel legitimer. Das ist die stille Gefahr von Mitarbeiterverzeichnis-Lecks: Sie legen nicht nur die aufgeführten Personen offen, sondern liefern Angreifern auch eine Blaupause für Angriffe auf das Unternehmen selbst.

Das Muster passt auch zu einem breiteren Trend, bei dem Angreifer Cloud-Mandanten-Umgebungen statt einzelner Endpunkte ins Visier nehmen. Ähnlich wie das Brinks Home Datenleck eine Million Kunden alarmierte, nachdem ein Hacker massiven Datendiebstahl behauptete, oder wie ein Origin-Energy-Hacker drohte, 2 Millionen Kundendateien zu leaken, folgt dieser Azure-Vorfall einem inzwischen vertrauten Muster: Man behauptet einen großen Bestand gestohlener Datensätze, postet Beweise oder Proben in einem Forum und setzt die betroffene Organisation unter Druck, zu reagieren – sei es mit einer Zahlungsaufforderung, einem öffentlichen Eingeständnis oder beidem.

Das Cloud-Mandanten-Problem, das Unternehmen nicht ignorieren können

Multinationale Unternehmen wie McDonald's, Vodafone, TCS und Kyndryl betreiben weitläufige Azure-Umgebungen mit Tausenden verbundenen Konten, Anwendungen und Drittanbieter-Integrationen. Jeder dieser Verbindungspunkte ist ein potenzieller Einstiegspunkt für Angreifer. Ob dieses spezifische Leck aus gestohlenen Anmeldedaten, einer falsch konfigurierten Zugriffseinstellung oder einem kompromittierten Drittanbieter stammt, wurde nicht bestätigt, aber Vorfälle wie dieser zeigen immer wieder dasselbe zugrunde liegende Problem: Cloud-Mandanten sind nur so sicher wie ihr schwächster Zugriffspunkt.

Für große Unternehmen bedeutet dies, dass Identitäts- und Zugriffsmanagement, die Durchsetzung von Multi-Faktor-Authentifizierung und die kontinuierliche Überwachung der Azure-Active-Directory-Aktivitäten keine optionalen Extras mehr sind. Sie sind Grundanforderungen zum Schutz der Art von Personaldaten, die, einmal geleakt, fast unmöglich zurückzuholen sind.

Was das für Sie bedeutet

Wenn Sie bei einem der in diesem angeblichen Azure-Datenleck genannten Unternehmen arbeiten oder bei einer großen Organisation, die Microsoft Azure nutzt, gibt es einige praktische Schritte, die Sie jetzt unternehmen sollten, sogar bevor Ihr Arbeitgeber die Behauptungen bestätigt oder dementiert.

Erstens: Behandeln Sie in den nächsten Wochen unerwartete Passwort-Zurücksetzungsanfragen, IT-Support-E-Mails oder HR-bezogene Nachrichten mit besonderer Vorsicht. Geleakte Mitarbeiterverzeichnisse werden häufig fast unmittelbar nach dem Auftauchen eines Lecks für Phishing-Angriffe verwendet.

Zweitens: Wenn Ihr Unternehmen als Reaktion auf diese Nachrichten Anweisungen gibt, befolgen Sie diese, auch wenn es sich wie eine Überreaktion anfühlt. Unternehmen bleiben oft still, bis sie den Umfang einer Behauptung verifiziert haben, was bedeutet, dass Mitarbeiter möglicherweise nicht sofort eine offizielle Bestätigung erhalten.

Drittens: Überprüfen Sie Ihre eigene Kontohygiene. Aktivieren Sie Multi-Faktor-Authentifizierung, wo immer sie angeboten wird, vermeiden Sie die Wiederverwendung von Passwörtern zwischen beruflichen und persönlichen Konten und seien Sie vorsichtig, wie viele persönliche Informationen Sie auf professionellen Netzwerkseiten teilen, da geleakte Mitarbeiterdaten oft mit öffentlich verfügbaren Details kombiniert werden, um Social-Engineering-Angriffe überzeugender zu machen.

Wichtige Erkenntnisse

Dieses angebliche Azure-Datenleck ist noch nicht verifiziert, aber das Muster, dem es folgt – ein Hacker, der den massiven Diebstahl von Mitarbeiterdaten von mehreren großen Unternehmen gleichzeitig behauptet – wird zunehmend häufiger. Bis die genannten Unternehmen die Behauptungen bestätigen oder dementieren, ist der sicherste Ansatz Vorsicht: Achten Sie auf Phishing-Versuche, die sich auf Ihren Arbeitgeber beziehen, verschärfen Sie die Sicherheit Ihrer eigenen Konten und bleiben Sie wachsam für offizielle Mitteilungen. In cloudabhängigen Unternehmen kann ein einziger kompromittierter Zugriffspunkt sich nach außen auswirken und Mitarbeiter, Partner und Kunden gleichermaßen betreffen – genau deshalb verdienen Vorfälle wie dieser Aufmerksamkeit, auch bevor alle Fakten bestätigt sind.