Hacker Klaim Curi 3,6 Juta Data Akun Azure dari Perusahaan Besar
Seorang threat actor mengklaim telah mencuri sekitar 3,64 juta data karyawan dari infrastruktur Microsoft Azure milik sejumlah perusahaan besar, termasuk beberapa perusahaan Fortune 500.
Data tersebut kini ditawarkan untuk dijual dan disebut diperoleh setelah attacker menggunakan compromised credentials untuk mendapatkan akses ke tenant Azure milik perusahaan yang menjadi target.
Sejak 31 Juli 2026, pelaku yang menggunakan alias TheHatman mulai mempublikasikan sejumlah database yang diklaim berasal dari organisasi besar seperti McDonald’s, Gap Inc., Vodafone, Tata Consultancy Services (TCS), HCL Technologies, InterContinental Hotels Group (IHG), dan Kyndryl.
Jika klaim tersebut benar, total data yang ditawarkan mencapai sekitar 3,64 juta records.
Namun, keaslian seluruh database dan bagaimana attacker memperoleh akses ke masing-masing environment Azure tersebut masih belum dapat dipastikan secara independen.
Database McDonald’s Diklaim Berisi 1,7 Juta Data Karyawan
Database terbesar yang ditawarkan TheHatman sejauh ini diklaim berasal dari McDonald’s.
Attacker mengklaim memiliki lebih dari 1,7 juta data karyawan yang diunduh langsung dari Azure tenant perusahaan menggunakan kredensial yang telah dikompromikan.
Data yang disebut terdapat dalam database tersebut meliputi:
- Nama lengkap
- Employee ID
- Alamat email
- Jabatan
- Nomor telepon
- Alamat surat
- Service accounts
- Data akun tenant lainnya
Dalam postingannya, TheHatman mengklaim database tersebut merupakan internal employee dump dan berasal langsung dari environment Azure milik perusahaan.
Pelaku juga menyediakan sample database untuk calon pembeli sebagai bukti bahwa data yang ditawarkan dianggap valid.
TCS Membantah Adanya Bukti Kebocoran
Database terbesar kedua yang ditawarkan disebut berasal dari Tata Consultancy Services (TCS) dengan lebih dari 800.000 records.
TheHatman kembali mengklaim data tersebut diunduh langsung dari Azure tenant menggunakan compromised credentials.
Namun, TCS membantah adanya bukti kredibel bahwa sistem perusahaan atau environment pelanggan telah dibobol.
Dalam pemberitahuan kepada bursa saham India, perusahaan mengatakan telah melakukan investigasi terhadap klaim tersebut dan tidak menemukan credible evidence of a breach pada sistem TCS maupun customer environments.
TCS juga menyatakan bahwa informasi yang ditawarkan tampaknya sudah berusia setidaknya empat tahun dan hanya berisi informasi dasar karyawan.
Menurut perusahaan, attacker mengklaim menggunakan password spraying serta MFA fatigue sebagai metode untuk memperoleh akses. Namun, TCS mengatakan telah memiliki perlindungan terhadap teknik tersebut selama lebih dari dua tahun dan hasil evaluasi internal menunjukkan mekanisme pertahanannya masih efektif.
Gap Inc. Juga Tidak Menemukan Bukti Sistem Diretas
Gap Inc. juga menyatakan belum menemukan bukti bahwa sistem korporat mereka telah dikompromikan.
Perusahaan mengatakan data yang diiklankan sebagai miliknya memiliki cakupan terbatas, bersifat tidak sensitif, dan berasal dari beberapa tahun lalu.
Dengan demikian, keberadaan database yang ditawarkan tidak secara otomatis membuktikan bahwa attacker baru-baru ini berhasil menembus environment Azure perusahaan.
Kondisi tersebut juga menjadi salah satu alasan penting mengapa klaim TheHatman masih perlu diverifikasi lebih lanjut.
Daftar Data yang Ditawarkan TheHatman
Antara 31 Juli hingga 16 Agustus 2026, TheHatman menawarkan database yang diklaim berasal dari sejumlah perusahaan besar.
| Perusahaan | Jumlah Data | Jenis Data |
|---|---|---|
| McDonald’s | 1,7+ juta | Nama, email, jabatan, telepon, alamat |
| Gap Inc. | 80.000+ | Nama, email, jabatan, telepon, alamat |
| Vodafone | 425.000+ | Nama, email, jabatan, telepon, alamat |
| TCS | 800.000+ | Nama, email, jabatan, telepon, alamat |
| HCL Technologies | 250.000+ | Nama, email, jabatan, telepon, alamat |
| InterContinental Hotels | 185.000+ | Nama, email, jabatan, telepon, alamat |
| Wyndham Hotels | 9.000+ | Nama, email, jabatan, telepon, alamat |
| Hexaware | 20.000+ | Nama, email, employee ID, telepon, alamat |
| Kyndryl.com | 170.000+ | Employee accounts, service accounts, dan data tenant |
TheHatman menyediakan sample untuk setiap database yang ditawarkan sehingga calon pembeli dapat memeriksa sebagian data sebelum melakukan transaksi.
Data Azure Dapat Mempermudah Serangan Social Engineering
Perusahaan cybersecurity Hudson Rock menganalisis sejumlah data yang ditawarkan dan menyatakan bahwa database tersebut memiliki karakteristik yang menyerupai corporate directory.
Data yang dianalisis memiliki struktur yang jelas dan mencakup atribut seperti domain aktif serta struktur tenant khusus dengan format .onmicrosoft.com.
Lebih mengkhawatirkan, beberapa dump disebut berisi service accounts dan nama global administrators.
Informasi semacam ini dapat memberikan nilai bagi attacker meskipun database tersebut tidak berisi password.
Data directory dapat digunakan untuk memetakan struktur organisasi, mengidentifikasi akun tertentu, mengetahui domain yang digunakan perusahaan, serta mencari target yang memiliki hak akses tinggi.
Informasi tersebut juga dapat membantu menjalankan social engineering dan spearphishing dengan tingkat personalisasi yang lebih tinggi.
Misalnya, attacker dapat menggunakan nama jabatan, alamat email, service account, maupun struktur organisasi untuk membuat email phishing yang terlihat lebih meyakinkan bagi karyawan.
Cara Attacker Mendapatkan Akses Masih Misterius
Hudson Rock menyatakan memiliki tingkat keyakinan tinggi bahwa data yang dianalisis merupakan data autentik.
Namun, perusahaan tersebut belum dapat memastikan bagaimana attacker memperoleh akses ke environment Azure masing-masing korban maupun bagaimana proses exfiltration dilakukan.
Klaim TheHatman menyebut penggunaan compromised credentials, tetapi hal tersebut belum cukup untuk memastikan apakah seluruh organisasi mengalami intrusion melalui metode yang sama.
Kemungkinan adanya kredensial yang telah dicuri sebelumnya juga menjadi salah satu aspek yang perlu diperhatikan dalam investigasi.
Jika akses memang diperoleh menggunakan akun yang valid, aktivitas attacker dapat terlihat seperti aktivitas pengguna normal sampai dilakukan analisis lebih mendalam terhadap authentication logs, sign-in patterns, privilege changes, dan aktivitas data access.
Belum Ada Konfirmasi Kebocoran dari Seluruh Perusahaan
Sejumlah perusahaan yang disebut dalam daftar telah memberikan bantahan atau mengatakan tidak menemukan bukti kompromi.
TCS dan Gap Inc. secara khusus menyatakan tidak menemukan bukti kredibel bahwa sistem mereka telah dibobol.
Sementara itu, belum semua organisasi yang tercantum memberikan penjelasan mengenai klaim tersebut.
Keberadaan sample data juga belum otomatis membuktikan bahwa database diperoleh melalui serangan baru terhadap Azure. Data lama yang sebelumnya tersedia dari sumber lain dapat dikemas ulang dan ditawarkan sebagai hasil kompromi baru.
Karena itu, investigasi terhadap timestamp data, sumber asli records, authentication logs, serta bukti akses ke tenant Azure menjadi penting untuk menentukan apakah telah terjadi breach dan kapan akses tersebut berlangsung.
Ancaman Terhadap Azure Tenant Tetap Perlu Diwaspadai
Terlepas dari benar atau tidaknya seluruh klaim TheHatman, kasus ini menunjukkan pentingnya perlindungan terhadap cloud credentials dan identity infrastructure.
Azure tenant menyimpan berbagai informasi yang dapat digunakan untuk mengakses layanan perusahaan. Jika kredensial pengguna dengan hak akses tinggi berhasil dicuri, attacker dapat berpotensi mengakses data internal, melakukan reconnaissance, membuat persistence, atau menggunakan akun yang telah dikompromikan untuk bergerak lebih jauh di dalam environment.
Perusahaan yang menggunakan Microsoft Azure dan Entra ID perlu memastikan penggunaan Multi-Factor Authentication (MFA), memantau aktivitas login yang tidak biasa, menerapkan prinsip least privilege, serta meninjau service accounts dan privileged accounts secara berkala.
Untuk saat ini, belum ada konfirmasi independen yang membuktikan bahwa seluruh 3,64 juta records tersebut diperoleh melalui kompromi Azure seperti yang diklaim TheHatman.
