“TheHatman” adını kullanan bir tehdit aktörü, çok sayıda büyük şirketin dahili çalışan dizinlerini ele geçirdiğini öne sürdü. Hudson Rock’ın Infostealers.com üzerinden yayımladığı analize göre sızdırılan veriler; kurumsal e-posta adresleri, telefon numaraları, unvanlar, departmanlar, yönetici bilgileri ve kullanıcı grupları gibi kritik kurumsal detayları içeriyor.

Milyonlarca Çalışan Kaydı İddiası

Hudson Rock’ın analizine göre veri setlerinde McDonald’s’a ait yaklaşık 1,7 milyon, Tata Consultancy Services’e ait 800 bin, Vodafone’a ait 425 bin ve HCL Technologies’e ait 250 bin çalışan kaydı bulunuyor. Etkilendiği öne sürülen diğer şirketler arasında InterContinental Hotels Group, Kyndryl, Gap, Hexaware Technologies ve Wyndham Hotels de yer alıyor.

Sızdırıldığı iddia edilen Azure dizin verileri, şirket içindeki organizasyon yapısına dair ayrıntılı bir görünüm sunuyor. Kayıtlarda çalışanların kurumsal e-posta adresleri, telefon numaraları, görev tanımları, bağlı oldukları departmanlar, yöneticileri ve grup üyelikleri yer alıyor. En kritik bölüm ise servis hesapları ile global yönetici hesaplarına ilişkin bilgilerin de veri setlerinde bulunduğu iddiası.

Saldırı Yöntemi Henüz Netleşmedi

Kampanyada kullanılan saldırı vektörü doğrulanmış değil. Hudson Rock, verilerin şirket e-posta alan adları ve Azure dizin dışa aktarımlarında kullanılan alan adlarıyla uyumlu göründüğünü belirtiyor. Ancak saldırganların bu bilgilere nasıl ulaştığı konusunda kesin bir tespit bulunmuyor.

Araştırmacılar, infostealer türü kötü amaçlı yazılımlarla ele geçirilen oturum belirteçleri, kimlik avı saldırılarıyla alınan yönetici erişimleri, zayıf çok faktörlü kimlik doğrulama uygulamaları ve fazla yetkiye sahip üçüncü taraf entegrasyonların olası kaynaklar arasında olabileceğini değerlendiriyor. Hudson Rock, etkilenen şirketlerin çoğuyla bağlantılı infostealer kaynaklı Azure kimlik bilgilerine rastlandığını da aktarıyor.

Türkiye’de Doğrudan İhlal Bildirimi Yok

Mevcut bulgularda kampanyanın Türkiye’deki bir şirketi doğrudan hedef aldığına ya da Türkiye merkezli bir saldırgan grupla bağlantılı olduğuna dair doğrulanmış bilgi bulunmuyor. Açıklanan şirket listesinde Türkiye’den bir kurum yer almıyor. Ancak saldırıdan etkilendiği öne sürülen küresel markaların Türkiye operasyonlarında kullanılan kurumsal hesaplar, merkezi Azure veya Microsoft Entra altyapılarına bağlı olabilir.

Bu durum, Türkiye’deki çalışanlar ya da yerel iştirakler açısından dolaylı bir risk ihtimalini gündeme getiriyor. Şirketlerin Türkiye operasyonlarına ait kayıtların sızdırıldığı ise şu aşamada doğrulanmış değil. Kampanyaya ilişkin bilgiler, saldırganın iddiaları ile örnek veri setlerini inceleyen siber güvenlik araştırmacılarının değerlendirmelerine dayanıyor.sqmagazine.co+2

Kurumsal Hesaplar İçin Yeni Riskler

Sızdırılan çalışan dizinleri, doğrudan parola içermese bile saldırganlara hedefli operasyonlar için önemli bir kaynak sağlayabilir. Departman, yönetici ve ayrıcalıklı hesap bilgileri; kimlik avı, iş e-postası dolandırıcılığı ve yetki yükseltme girişimlerinde kullanılabilir.

Özellikle global yönetici hesaplarının belirlenmesi, büyük ölçekli kurumların siber güvenliği açısından önemli bir risk oluşturuyor. Bu tür hesaplar, bulut altyapılarındaki kullanıcı yönetimi, erişim politikaları ve kurumsal kaynaklar üzerinde geniş yetkilere sahip olabiliyor. Uzmanlar, şirketlerin Azure ve Entra erişim günlüklerini incelemesi, çok faktörlü kimlik doğrulamayı güçlendirmesi, oturum belirteçlerini yenilemesi ve ayrıcalıklı hesapları yeniden denetlemesi gerektiğine dikkat çekiyor.