Nombres Alternativos / Aliases
- TheHatman Azure Campaign (Por el actor de amenaza)
- Azure Entra Directory Theft (Por el vector de ataque)
- 3.64M Fortune 500 Data Breach (Por la escala del incidente)
- Infostealer-Driven Azure Exfiltration (Por el método de acceso)
Fecha de Detección / Actividad
- Primera publicación en foros: 31 de julio de 2026
- Última publicación conocida: 16 de agosto de 2026
- Total de registros reclamados: 3.64 millones
- Empresas afectadas: 9 organizaciones Fortune 500
- Países afectados: Global (EE.UU., Reino Unido, India, etc.)
- Estado: Activa (datos en venta activa en foros de ciberdelincuencia)
Actor de Amenaza (Atribución)
| Característica
|
Detalle
|
| Alias del actor
|
TheHatman
|
- ☑ Plataformas de venta | BreachForums, DarkForum, PwnForums
- ☑ Vínculo Gubernamental | Ninguno (ciberdelincuencia con motivación financiera) | | Tipo de Actor | Initial Access Broker / Venta de datos | | Sofisticación | MEDIA-ALTA. El actor demuestra:
- Capacidad para obtener credenciales de Azure/Entra ID de múltiples empresas Fortune 500
- Uso de infostealer malware para robar tokens y sesiones
- Publicación coordinada en múltiples foros de ciberdelincuencia
- Oferta de muestras de datos para verificación de compradores | | Motivación | Financiera (venta de datos) | | Método de acceso reclamado | Credenciales comprometidas, password spraying, MFA fatigue |
Resumen Ejecutivo
Un actor de amenazas identificado como TheHatman ha estado vendiendo desde el 31 de julio de 2026 bases de datos con 3.64 millones de registros de empleados, supuestamente extraídos directamente de los entornos Azure/Entra ID de múltiples empresas Fortune 500.
Empresas afectadas
| Empresa
|
Registros reclamados
|
Sector
|
| McDonald's Corporation
|
1,700,000+
|
Restauración
|
- ☑ Tata Consultancy Services (TCS) | 800,000+ | IT Services
- ☑ Vodafone | 425,000+ | Telecomunicaciones
- ☑ HCL Technologies | 250,000+ | IT Services
- ☑ InterContinental Hotels Group (IHG) | 185,000+ | Hostelería
- ☑ Kyndryl | 170,000+ | IT Services
- ☑ Gap Inc. | 80,000+ | Retail
- ☑ Hexaware Technologies | 20,000+ | IT Services
- ☑ Wyndham Hotels | 9,000+ | Hostelería
Datos expuestos
| Categoría
|
Datos
|
| Identidad
|
Nombres completos, direcciones de correo, IDs de empleado
|
- ☑ Contacto | Números de teléfono, direcciones postales
- ☑ Organización | Títulos de trabajo, managers, estructura de reportes
- ☑ Grupos de acceso | Membresías de grupos de usuario, cuentas de servicio
- ☑ Privilegios | Registros de administradores globales, cuentas con altos privilegios
"The exposure of service accounts and global admin names is particularly concerning, as this provides a direct roadmap for subsequent social engineering, spear-phishing, or targeted privilege escalation attacks."
La respuesta de TCS y Gap Inc.
| Empresa
|
Respuesta
|
Fuente
|
| TCS
|
No encontró "evidencia creíble de una brecha de sistemas TCS o entornos de clientes". Los datos parecen tener más de 4 años y limitados a información básica de empleados.
|
|
- ☑ Gap Inc. | No encontró evidencia de compromiso de sistemas corporativos. Los datos son "limitados en alcance, no sensibles y datan de hace varios años".
Vector de Ataque / Métodos de Distribución
El rol de los infostealers
Según el análisis de Hudson Rock, el origen más probable de la filtración son credenciales robadas por infostealer malware infectando endpoints de empleados :
"Judging by the massive size of the organizations impacted, it appears highly likely that this campaign originates from targeted exploitation of Infostealer infections rather than a systemic zero-day vulnerability in Azure. If this were a widespread vulnerability, we would likely see a much broader spectrum of organizations impacted, including smaller businesses, rather than just these massive Fortune 500-level enterprises."
Método reclamado por el actor
| Método
|
Descripción
|
| Password spraying
|
Intentos de autenticación con contraseñas comunes contra múltiples cuentas
|
- ☑ MFA fatigue | Bombardeo de solicitudes MFA hasta que el usuario las aprueba por fatiga | | Infostealer malware | Robo de cookies de sesión y tokens de autenticación |
El problema de las operaciones de lectura
"Directory enumeration generates none of that. It is authorized, it is read-only, it modifies nothing, it produces no impact metric, and in Graph telemetry it looks like a well-behaved application doing exactly what applications do. The attacker never has to become an administrator, which means every detection you tuned around administrative behavior is looking at the wrong layer."
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK)
|
Técnica / Subtécnica
|
Descripción / Implementación
|
| Initial Access (TA0001)
|
Phishing (T1566)
|
Recolección de credenciales mediante infostealer malware
|
- ☑ Initial Access (TA0001) | Valid Accounts (T1078) | Uso de credenciales robadas para autenticarse en Azure/Entra ID
- ☑ Credential Access (TA0006) | Credentials from Password Stores (T1555) | Robo de credenciales y tokens almacenados en navegadores
- ☑ Collection (TA0009) | Data from Information Repositories (T1213) | Extracción de directorios de empleados desde Azure/Entra ID | | Exfiltration (TA0010) | Exfiltration Over Web Service (T1567) | Publicación de datos en foros de ciberdelincuencia | | Impact (TA0040) | Financial Theft / Extortion (T1657) | Venta de datos para beneficio económico |
Impacto y Riesgo
| Categoría
|
Nivel
|
Descripción
|
| Volumen de datos
|
MUY ALTO
|
3.64M registros de 9 empresas Fortune 500
|
- ☑ Datos expuestos | ALTO | Directorios completos de empleados con estructura organizacional | | Riesgo de phishing | MUY ALTO | Datos utilizables para spear-phishing y BEC
- ☑ Riesgo de escalada | MUY ALTO | Exposición de cuentas de servicio y administradores globales | | Autenticidad de los datos | ALTA | Hudson Rock confirma alta probabilidad de autenticidad |
Consecuencias potenciales
| Consecuencia
|
Gravedad
|
Detalle
|
| Spear-phishing dirigido
|
Crítica
|
Conocimiento de estructura organizacional para ataques convincentes
|
- ☑ Business Email Compromise (BEC) | Crítica | Suplantación de managers y ejecutivos | | Escalada de privilegios | Crítica | Identificación de cuentas de administrador y servicio para ataques dirigidos | | Fraude financiero | Alta | Uso de datos para aprobar transferencias fraudulentas |
Recomendaciones de Mitigación
Para organizaciones
| Acción
|
Prioridad
|
Descripción
|
| MFA resistente a phishing
|
CRÍTICA
|
Implementar FIDO2/WebAuthn en lugar de MFA basado en push
|
- ☑ Auditar permisos de directorio | CRÍTICA | Revisar quién puede exportar datos de directorio desde Entra ID | | Monitoreo de enumeración de directorios | ALTA | Detectar patrones de exportación masiva de datos de directorio | | Rotar secretos de aplicaciones | ALTA | Resetear secretos de registro de aplicaciones y claves de servicio
- ☑ Auditar service principals | ALTA | Revisar permisos de service principals y cuentas de servicio | | Revisar relaciones de federación | ALTA | Auditar relaciones de dominio federado en Entra ID | | Monitoreo de infostealer logs | ALTA | Detectar credenciales corporativas en logs de infostealer |
Referencias y Fuentes
- BleepingComputer. (2026, 17 de agosto). Hacker claims 3.6 million Azure account records stolen from major companies.
- Hudson Rock. (2026, 16 de agosto). Massive Azure Exfiltration Campaign Exposes Millions of Enterprise Records via Compromised Credentials.
- CNBC TV18. (2026, 10 de agosto). TCS says no evidence of systems breach after alerts flag possible employee data exposure.
- ThaiCERT. (2026, 18 de agosto). Fortune 500 Organizations Fall Victim to Azure Data Theft Campaign.
- Windows Report. (2026, 17 de agosto). Hacker Claims 3.64 Million Employee Records Stolen From Azure.
- eSecurity Planet. (2026, 18 de agosto). 3.6M Azure Records Allegedly Stolen From Major Companies.
Historial de Revisiones
| Fecha
|
Versión
|
Autor
|
Cambios Realizados
|
| 2026-08-20
|
1.0
|
Fernando Vargas Hincapié
|
Creación inicial basada en análisis de BleepingComputer, Hudson Rock, CNBC TV18 y otras fuentes
|
Indicadores de Compromiso (IOCs)
Actores de amenaza
| Tipo
|
Indicador
|
| Alias
|
TheHatman
|
| Plataformas
|
BreachForums, DarkForum, PwnForums
|
Empresas afectadas (reclamadas)
| Empresa
|
Registros
|
Sector
|
| McDonald's Corporation
|
1,700,000+
|
Restauración
|
| Tata Consultancy Services
|
800,000+
|
IT Services
|
| Vodafone
|
425,000+
|
Telecomunicaciones
|
| HCL Technologies
|
250,000+
|
IT Services
|
| InterContinental Hotels Group
|
185,000+
|
Hostelería
|
| Kyndryl
|
170,000+
|
IT Services
|
| Gap Inc.
|
80,000+
|
Retail
|
| Hexaware Technologies
|
20,000+
|
IT Services
|
| Wyndham Hotels
|
9,000+
|
Hostelería
|
Datos expuestos
| Tipo de dato
|
Descripción
|
| Identidad
|
Nombres, correos, IDs de empleado
|
| Contacto
|
Teléfonos, direcciones
|
| Organización
|
Títulos, managers, estructura de reportes
|
| Privilegios
|
Cuentas de servicio, administradores globales
|
Vector de acceso (no confirmado)
| Método
|
Descripción
|
| Infostealer malware
|
Robo de credenciales y tokens de sesión
|
| Password spraying
|
Ataques de fuerza bruta contra cuentas de Azure
|
| MFA fatigue
|
Bombardeo de solicitudes MFA
|
Comportamiento a monitorear
| Categoría
|
Comportamiento
|
| Azure/Entra ID
|
Exportaciones masivas de directorios de empleados
|
| Autenticación
|
Intentos de autenticación desde ubicaciones anómalas
|
| MFA
|
Múltiples solicitudes MFA fallidas seguidas de éxito
|
Etiquetas / Categorías
thehatman-azure-data-breach 3.6-million-fortune-500-employee-records azure-entra-id-exfiltration infostealer-credential-theft fortune-500-data-breach
