Un individu opérant sous le pseudonyme TheHatman inonde depuis le 31 juillet les forums cybercriminels avec des bases de données d’employés qu’il prétend avoir aspirées directement depuis les tenants Azure de neuf multinationales du Fortune 500. McDonald’s, Tata Consultancy Services, Vodafone, HCL Technologies, InterContinental Hotels Group, Kyndryl, Gap Inc., Hexaware Technologies, Wyndham Hotels… la liste a de quoi donner le vertige, et le butin revendiqué atteint 3,64 millions d’enregistrements.
La plus volumineuse des bases mises aux enchères concerne McDonald’s, avec plus de 1,7 million de fiches d’employés publiées dimanche dernier, suivie par le géant indien TCS (800 000 enregistrements) et Vodafone (425 000). Chaque dump contient un cocktail redoutablement exploitable, notamment des noms complets, adresses e-mail professionnelles, numéros de téléphone, intitulés de poste, identifiants employés, rattachements hiérarchiques, comptes de service et, dans certains cas, les noms des administrateurs globaux Azure. Autant de munitions pour orchestrer des campagnes de spearphishing ou de compromission de messagerie d’entreprise (BEC) d’une précision chirurgicale.
Hudson Rock, la société de renseignement spécialisée dans la cybercriminalité qui a passé les échantillons au crible, estime avec un haut degré de confiance que les données sont authentiques. « Les champs correspondent parfaitement aux exports standard d’annuaires Azure, y compris les structures de domaines .onmicrosoft.com propres à chaque tenant », relèvent ses analystes. L’entreprise souligne que la présence de comptes de service et de noms d’administrateurs globaux offre aux attaquants « une feuille de route directe pour des attaques d’ingénierie sociale, de spearphishing ou d’escalade de privilèges ciblée ». Si la qualité des données semble donc difficilement contestable, le vecteur d’intrusion et la méthode d’exfiltration restent en revanche impossibles à confirmer formellement à ce stade.
TheHatman affirme avoir exploité des identifiants compromis pour se connecter aux portails Azure/Entra des organisations visées, et revendique deux techniques d’attaque bien connues des red teams, à savoir le password spray (tentatives massives d’un même mot de passe sur des milliers de comptes) et la MFA fatigue (bombardement de notifications d’authentification multifacteur jusqu’à ce qu’un utilisateur exaspéré valide par mégarde). Hudson Rock privilégie toutefois une autre hypothèse, celle d’identifiants dérobés via des infections par infostealers, ces malwares qui siphonnent mots de passe et jetons de session directement sur les postes de travail. Ses chercheurs ont d’ailleurs retrouvé des credentials Azure compromis liés à la plupart des entreprises touchées. Le profil des victimes, exclusivement des mastodontes mondiaux, plaide selon eux en faveur d’une campagne ciblée plutôt que de l’exploitation d’une faille zero-day dans l’infrastructure Azure elle-même, qui aurait logiquement frappé un spectre bien plus large d’organisations.
Tata Consultancy Services a réagi rapidement en adressant une notification à la Bourse nationale indienne. L’entreprise y assure n’avoir trouvé « aucune preuve crédible d’une intrusion dans les systèmes de TCS ou dans les environnements clients », et précise que les données en circulation semblent dater d’au moins quatre ans, ne contenant que des informations basiques sur les employés. « L’attaquant prétend avoir utilisé le password spray et la MFA fatigue comme vecteur d’attaque. La société dispose de protections robustes contre ces techniques depuis plus de deux ans », a déclaré un porte-parole de TCS. Gap Inc. adopte une posture similaire, un représentant de l’enseigne ayant indiqué à BleepingComputer que « l’enquête préliminaire montre que les données en question sont limitées en portée, non sensibles et remontent à plusieurs années ». Aucune compromission des systèmes d’entreprise n’aurait été détectée.
Peut-être ces démentis rassurent-ils les directions concernées, mais ils ne dissipent guère l’inquiétude des spécialistes. Car même des annuaires « basiques » et vieux de quelques années conservent une valeur opérationnelle redoutable pour un attaquant qui cherche à cartographier les organigrammes, identifier les cibles à haut privilège et forger des e-mails de phishing indiscernables d’un message légitime. Le fait que TheHatman fournisse des échantillons vérifiables à chaque acheteur potentiel suggère une démarche commerciale rodée, celle d’un courtier en accès initiaux (initial access broker) qui monétise méthodiquement son butin.
L’ampleur de cette campagne, neuf entreprises frappées en à peine deux semaines et demie dans une année déjà marquée par un record des fuites de données, pose une question qui dépasse le cas d’espèce. Comment des organisations de cette taille, disposant en théorie d’équipes de sécurité pléthoriques et de budgets conséquents, peuvent-elles encore laisser des identifiants Azure exploitables sans détection ? La réponse tient sans doute dans un chiffre glaçant issu du Blue Report 2026, selon lequel seules 37 % des actions d’un attaquant utilisant des identifiants valides sont effectivement bloquées une fois l’accès initial obtenu. Autrement formulé, la muraille s’effondre dès que la clé tourne dans la serrure.
Que les données soient fraîches ou vieilles de quatre ans, qu’elles aient été aspirées par infostealer ou par MFA fatigue, le résultat est le même pour les 3,6 millions d’employés concernés, du moins pour ceux dont les coordonnées circulent désormais librement sur les marchés noirs : leur identité professionnelle est devenue une arme entre les mains de quiconque accepte d’en payer le prix.
