Azure: بيانات 3.64 مليون موظف معروضة للبيع عبر بيانات اعتماد مخترقة

مقدمة تحليلية

في 17 أغسطس 2026، كشف تقرير لـ BleepingComputer عن مزاعم مخترق يحمل اسم "TheHatman" ببيع 3.64 مليون سجل بيانات موظفين، مسروقة من بنية Microsoft Azure التحتية لشركات ضمن قائمة Fortune 500. بدأت إعلانات "TheHatman" في 31 يوليو 2026، وتضمنت عروضاً لبيانات من كيانات كبرى مثل McDonald's، Gap Inc.، Vodafone، Tata Consultancy Services، HCL Technologies، InterContinental Hotels، و Kyndryl. أحدث اختراق مزعوم نُشر يوم الأحد تضمن 1.7 مليون سجل لموظفي McDonald's، بينما شملت بيانات Tata Consultancy أكثر من 800,000 سجل. يدعي المخترق أن الوصول تم عبر بيانات اعتماد مخترقة (compromised credentials)، وتشمل البيانات أسماء الموظفين، أرقام تعريفهم، عناوين البريد الإلكتروني، المسميات الوظيفية، أرقام الهواتف، العناوين البريدية، حسابات الخدمات، وسجلات حسابات المستأجر.

رغم تكذيب Tata و Gap لهذه المزاعم، أكدت شركة Hudson Rock لتحليل جرائم الإنترنت صحة البيانات المزعومة، مشيرة إلى احتوائها على "سمات دليل الشركات الأساسية" وتراكيب.onmicrosoft.com، مما يزيد من تعقيد الموقف ويضع البنية التحتية السحابية للشركات الكبرى تحت مجهر التدقيق الأمني.

التحليل التقني

يزعم "TheHatman" أن نقطة الدخول الأساسية كانت عبر بيانات اعتماد مخترقة (compromised credentials). هذه الطريقة غالباً ما تستغل ضعف كلمات المرور أو سرقة معلومات تسجيل الدخول من خلال هجمات التصيد الاحتيالي (phishing) أو برامج سرقة المعلومات (infostealers). يُضاف إلى ذلك استخدام أساليب مثل "password spray" التي تحاول كلمات مرور شائعة على عدد كبير من الحسابات، و"MFA fatigue" التي تستغل إجهاد المستخدمين بإرسال طلبات مصادقة متعددة العوامل متكررة حتى يقبلوا إحداها عن طريق الخطأ. بمجرد الحصول على هذه البيانات، تمكن المخترق من الوصول إلى مستأجري Azure (Azure Tenants) للشركات المستهدفة.

وفقاً لتحليل Hudson Rock، فإن البيانات المعروضة تحتوي على "سمات دليل الشركات الأساسية" (foundational corporate directory attributes) وهياكل واضحة لـ "active domains" و"tenant-specific.onmicrosoft.com". تضمنت السجلات أيضاً حسابات الخدمات (service accounts) وأسماء مدراء النظام العامين (global administrators). هذه التفاصيل ليست مجرد معلومات شخصية، بل هي عناصر حيوية يمكن استغلالها بشكل مباشر في هجمات الهندسة الاجتماعية (social engineering) وهجمات التصيد الموجه (spearphishing) الأكثر تطوراً.

تضمنت البيانات المعروضة للبيع:

• McDonald's: أكثر من 1.7 مليون سجل.
• Tata Consultancy Services: أكثر من 800,000 سجل.
• Vodafone: أكثر من 425,000 سجل.
• HCL Technologies: أكثر من 250,000 سجل.
• InterContinental Hotels: أكثر من 185,000 سجل.
• Kyndryl.com: أكثر من 170,000 سجل، بما في ذلك حسابات الموظفين وحسابات الخدمات.
• Gap Inc.: أكثر من 80,000 سجل.
• Hexaware: أكثر من 20,000 سجل.
• Wyndham Hotels: أكثر من 9,000 سجل.

على الرغم من ذلك، نفت Tata Consultancy وقوع أي خرق لأنظمتها أو بيئات عملائها، مؤكدة أن البيانات المزعومة قديمة وتعود لأكثر من أربع سنوات، وأنها نفذت إجراءات حماية قوية ضد مثل هذه الهجمات لأكثر من عامين. Gap Inc. أيضاً نفت وجود دليل على اختراق أنظمتها، ووصفت البيانات بأنها غير حساسة وتعود لسنوات مضت. هذه التناقضات تبرز تحدي التحقق من مزاعم المخترقين في بيئات سحابية معقدة.

يشير تقرير "The Blue Report 2026" إلى أنه بمجرد امتلاك المهاجمين لبيانات اعتماد صالحة، يتم حظر 37% فقط من أفعالهم، بناءً على 338 مليون عملية محاكاة، مما يوضح ضعف الدفاعات بعد الاختراق الأولي.

السياق وتأثير السوق

تضع هذه المزاعم الأمنية Microsoft Azure، أحد أكبر مزودي الخدمات السحابية في العالم، في موقف حرج. ففي حين أن Azure يقدم مجموعة واسعة من أدوات الحماية، فإن الهجوم المزعوم يركز على نقطة ضعف حاسمة: أمن بيانات اعتماد المستخدمين. المنافسون الرئيسيون مثل Amazon Web Services (AWS) و Google Cloud Platform (GCP) يواجهون تحديات مماثلة، حيث أن نقاط الدخول الأكثر شيوعاً للهجمات لا تكمن دائماً في البنية التحتية الأساسية للمنصة السحابية، بل في كيفية إدارة العملاء لبيانات اعتمادهم.

تقليدياً، اعتمدت الشركات على الدفاعات المحيطية (perimeter defenses) لحماية شبكاتها. أما اليوم، مع التوسع نحو السحابة والعمل عن بعد، أصبح الأمن المرتكز على الهوية (identity-centric security) هو المعيار الجديد، حيث يُفترض أن الشبكة الداخلية ليست آمنة بالضرورة وأن كل محاولة وصول تحتاج إلى التحقق. هذا التحول يعني أن اختراق بيانات الاعتماد لـ 3.64 مليون سجل، حتى لو كانت جزئية أو قديمة، يمثل فشلاً في تطبيق هذا المعيار الجديد عبر سلسلة الإمداد الأمنية للشركات.

الشركات المتأثرة مثل McDonald's و Vodafone و Tata، التي تعتمد بشكل كبير على الخدمات السحابية لأعمالها التشغيلية، تخاطر ليس فقط بسمعتها بل أيضاً بتكاليف الامتثال والعقوبات المحتملة. إن تكذيب Tata و Gap لجودة البيانات أو تاريخها لا يلغي حقيقة وجود هذه البيانات في أيدي المخترقين، حتى لو كانت قديمة بأربع سنوات أو "غير حساسة" بحسب وصف Gap Inc. هذه البيانات، مهما كانت طبيعتها، توفر قاعدة معلومات قيمة للمهاجمين لتخطيط هجمات مستقبلية، بما في ذلك هجمات الهندسة الاجتماعية ضد الموظفين الحاليين أو السابقين، مما يكشف عن ثغرة أمنية مستمرة في إدارة الهوية على نطاق واسع داخل بيئات Azure للشركات العملاقة.

رؤية Glitch4Techs

الزعم بسرقة 3.64 مليون سجل من مستخدمي Azure ليس قضية "مزاعم" فحسب، بل هو دليل دامغ على فشل منهجي في حماية الهوية الرقمية داخل بيئات الشركات الكبرى. سواء كانت البيانات حديثة أو تعود لأربع سنوات كما تدعي Tata Consultancy، فإن وجودها في السوق السوداء يُشكل تهديداً استخباراتياً مباشراً. هذا الاختراق المزعوم يؤكد أن الشركات، حتى تلك التي تتباهى بـ "إجراءات حماية قوية لأكثر من عامين" مثل Tata، لا تزال تفتقر إلى تطبيق دفاعات فعالة ضد هجمات تستهدف بيانات الاعتماد. النتيجة الحتمية هي أن "خدمات الحماية" التي تدفع الشركات مقابلها، بما فيها تلك التي توفرها Microsoft Azure، لا تفعل شيئاً يُذكر بعد أن يحصل المهاجم على بيانات اعتماد صالحة.

كما أشار تقرير The Blue Report 2026، يتم حظر 37% فقط من الإجراءات بمجرد اختراق بيانات الاعتماد. هذا الرقم ليس مجرد إحصائية؛ إنه مؤشر صارخ على أن الاستثمارات في الأمن السيبراني تُصرف على دفاعات لا قيمة لها بمجرد تجاوز نقطة الدخول الأساسية. الشركات تُهدر المليارات سنوياً على أدوات لا تحمي الهوية، وهذا الإخفاق المتكرر سيدفع فاتورته المساهمون والعملاء.