暗网现大规模Azure/Entra目录泄露：TheHatman兜售9家财富500强逾300万员工记录，含服务账户与全局管理员信息

一场大规模Azure数据泄露行动正在暗网蔓延：代号TheHatman的威胁行为者声称利用失窃凭证，直接从受害企业的Azure和Entra租户中提取内部员工目录数据，过去一周已在多个地下论坛发布至少9家财富500强企业的数据售卖帖子，涉及IT服务、酒店、电信、零售和物流等行业。其中麦当劳受影响最严重，超过170万条记录被曝光，塔塔咨询服务约80万条，沃达丰约42.5万条，HCL Technologies约25万条，其余还包括洲际酒店集团、Kyndryl、Gap、Hexaware及温德姆酒店。

Hudson Rock研究人员在审查样本数据集后表示，数据看起来高度可信：企业电子邮件域名和字段结构均与标准Azure目录导出格式完全吻合。Ransomnews对麦当劳8000行样本的离线分析也显示，50个邮箱域名全部为麦当劳控制，架构、编码损伤与字段截断均符合从Entra ID使用PowerShell命令导出再转CSV的特征，且样本中不包含密码、哈希或支付数据。

泄露数据集遵循相同模板，核心字段包括姓名、企业邮箱（涵盖活跃域名及onmicrosoft.com租户结构）、电话和物理地址，此外还包含员工ID、职位、部门、上级指派与直接下属等组织架构信息。最令人担忧的是数据中还包含访问权限和组映射信息，包括服务账户详情，某些情况下甚至列出全局管理员账户——这相当于为攻击者提供了一份可用的蓝图，用于定向钓鱼、社工攻击与针对性提权入侵。

关于入侵途径，攻击者声称使用失窃凭证，Hudson Rock认为很可能源于信息窃取木马（Infostealer）感染，而非Azure本身的系统性零日漏洞——若为后者，受害范围应远不止这些大型企业。该事件揭示了企业云目录数据一旦外泄的连锁风险：即便不含密码，组织架构与特权账户信息仍可被武器化用于商业邮件欺诈与勒索软件部署，企业须加强云身份治理、MFA覆盖与特权账户监测。