Une fuite sans CVE : comment neuf annuaires d’entreprises ont fini en vente
Entre le 31 juillet et la mi-août 2026, un acteur malveillant opérant sous le pseudonyme « TheHatman » a commencé à mettre en vente des annuaires internes d’employés sur des forums cybercriminels, affirmant que chaque lot avait été exfiltré directement du tenant Microsoft Azure de l’organisation victime. Selon le reportage de BleepingComputer sur la campagne, l’acteur revendique un total d’environ 3,64 millions d’enregistrements répartis sur neuf grandes entreprises — un ensemble d’annonces que SecurityWeek a chiffré à environ 3,5 millions.
La ventilation par entreprise rapportée par BleepingComputer est frappante par son étendue : McDonald’s arrive en tête avec plus de 1,7 million d’enregistrements, suivi de Tata Consultancy Services (TCS) avec plus de 800 000, de Vodafone avec plus de 425 000, et de HCL Technologies avec plus de 250 000. InterContinental Hotels Group (IHG) représente plus de 185 000 enregistrements, Kyndryl plus de 170 000, Gap Inc. plus de 80 000, Hexaware plus de 20 000, et Wyndham Hotels environ 9 000. Les champs exposés, selon le même rapport, comprennent noms complets, adresses e-mail, identifiants d’employés, intitulés de poste, numéros de téléphone, adresses postales, comptes de service et enregistrements de comptes du tenant.
Ce qui distingue cet incident du titre de fuite habituel, c’est ce qui est absent : il n’y a pas de CVE, pas de zero-day, pas de correctif à appliquer. Ce n’était pas un produit défaillant — c’étaient, prétendument, des identifiants valides utilisés contre un système d’identité cloud fonctionnant correctement.
Le vecteur probable : les infostealers, pas les exploits
La méthode exacte d’intrusion n’a pas été établie de manière concluante, et les entreprises concernées contestent la gravité. Mais la firme de sécurité qui a analysé les dumps pointe un coupable familier. Hudson Rock, dont les chercheurs ont examiné les données, a estimé que des identifiants compromis dans une campagne ciblée d’infostealer ont très probablement servi à exfiltrer les données d’annuaire, tout en signalant le phishing, une application faible de l’authentification multifacteur (MFA) et des intégrations d’API tierces surprivilégiées comme d’autres pistes plausibles.
Les propres affirmations de TheHatman sur les forums décrivent les données comme « exfiltrées d’instances Azure/Entra à l’aide d’identifiants divulgués », et évoquent séparément des techniques de password-spray et de MFA-fatigue — précisément les tactiques à faible effort et à fort volume qui prospèrent quand les tenants manquent de MFA résistante au phishing et de contrôles d’accès conditionnel. Le password spraying figure parmi les schémas d’attaque les plus courants contre les fournisseurs d’identité cloud, et les attaques par MFA-fatigue — où un utilisateur est bombardé d’invites push jusqu’à ce qu’il en approuve une — sont efficaces précisément parce qu’elles exploitent l’impatience humaine plutôt qu’une faille technique.
Les infostealers comptent ici parce qu’ils défont le modèle mental que la plupart des organisations conservent au sujet de la MFA. Les malwares de vol de jetons comme les familles RedLine et Raccoon dérobent les cookies de navigateur et les jetons de rafraîchissement directement sur un disque infecté, permettant à un attaquant de rejouer une session déjà authentifiée sans jamais affronter l’invite de connexion ni le second facteur. Le constat pour les défenseurs est inconfortable : un seul ordinateur portable compromis appartenant à un employé surprivilégié peut suffire à ressortir avec l’organigramme entier.
Publicité
Pourquoi un organigramme est une arme, pas une nuisance
Plusieurs entreprises nommées ont réagi vite pour minimiser la fuite, et leur défense mérite d’être pesée équitablement. TCS a déclaré à la Bombay Stock Exchange n’avoir trouvé « aucune preuve crédible d’une compromission », notant que les données semblaient vieilles d’au moins quatre ans et ne contenaient que des détails d’employés basiques, et que des protections contre les attaques par password-spray et MFA-fatigue étaient en place depuis deux ans. Gap Inc. a de même affirmé n’avoir trouvé aucune preuve de compromission et que les données étaient non sensibles et remontaient à plusieurs années.
Ces réponses passent à côté du point qui rend les données d’annuaire dangereuses. Il ne s’agit pas de données de cartes de paiement qui expirent ni de mots de passe que l’on peut réinitialiser — c’est la carte structurelle d’une organisation. Comme Hudson Rock l’a averti, l’exposition des comptes de service et des noms d’administrateurs globaux est particulièrement préoccupante car elle fournit une feuille de route directe pour l’ingénierie sociale ultérieure, le spear-phishing ou les attaques ciblées d’escalade de privilèges. L’annuaire indique à un attaquant qui relève de qui, quelles boîtes aux lettres appartiennent à la finance, quels comptes sont des principaux de service non humains à cibler et — le plus précieux — les noms littéraux des comptes Global Administrator qui contrôlent le tenant.
C’est la matière première d’une compromission d’e-mail professionnel (BEC) et d’un phishing ciblé convaincants. Un attaquant qui connaît le nom de l’assistant du directeur financier, son manager et le format d’e-mail interne n’a pas besoin de deviner ; il peut usurper l’identité de la bonne personne auprès de la bonne cible du premier coup. Les données d’annuaire vieillissent bien comme actif d’attaque précisément parce que les lignes hiérarchiques et les structures d’administration changent lentement — ce qui sape la défense « c’est vieux de quatre ans ».
Ce que cela signifie pour les responsables de la sécurité
L’incident est une étude de cas nette d’un basculement qui se construit depuis deux ans : l’identité, et non le périmètre réseau, est désormais le champ de bataille principal, et l’identifiant est le nouvel exploit. Voici comment agir.
1. Imposez une MFA résistante au phishing d’abord sur les comptes privilégiés et de service
La MFA par notification push est ce que les attaques par MFA-fatigue sont conçues pour vaincre, et elle ne fait rien contre un jeton de session volé. Faites passer les administrateurs globaux, les rôles privilégiés et tout compte de secours « bris de glace » détenu par un humain à des méthodes résistantes au phishing (clés de sécurité FIDO2 ou passkeys) avant de vous soucier de la population générale. Si les dumps de TheHatman contiennent les noms de vos comptes admin, supposez que ces identités figurent désormais sur une liste de cibles et durcissez-les cette semaine, pas le trimestre prochain.
2. Traitez les infections par infostealer comme des incidents à l’échelle du tenant, pas des nettoyages de terminaux
Quand un agent de terminal signale RedLine, Raccoon ou un stealer similaire, la réponse standard — réinstaller la machine — n’est que la moitié du travail. Tous les jetons de session, jetons de rafraîchissement et identifiants enregistrés sur cet appareil doivent être supposés volés et révoqués de force dans Entra ID. Faites tourner les identifiants de l’utilisateur affecté, révoquez les sessions actives et examinez ce que ce compte pouvait atteindre. Un portable réinstallé avec un jeton volé toujours valide est un problème de terminal résolu et un problème cloud ouvert.
3. Auditez et plafonnez les privilèges des API tierces et des principaux de service
Hudson Rock a explicitement désigné les intégrations d’API tierces surprivilégiées comme une piste d’exfiltration plausible. Recensez chaque enregistrement d’application et principal de service disposant de permissions de lecture d’annuaire, et retirez tous ceux qui n’en ont pas strictement besoin. Les identités non humaines déclenchent rarement la MFA et sont fréquemment oubliées dans les revues d’accès — ce qui est exactement pourquoi les attaquants les traquent dans un annuaire volé.
4. Supposez que votre organigramme est déjà public et reconstruisez les défenses BEC en conséquence
Si les données d’annuaire peuvent fuir aussi discrètement, les défenseurs devraient cesser de traiter les structures hiérarchiques internes comme un secret et plutôt durcir les processus qui les exploitent. Exigez une vérification hors bande pour les changements de paiement et les demandes sensibles, signalez les domaines expéditeurs ressemblants et nouvellement enregistrés, et formez spécifiquement le personnel de la finance et les assistants de direction aux schémas de spear-phishing que ces données rendent possibles.
La leçon structurelle : la responsabilité partagée du cloud coupe dans les deux sens
La ligne la plus importante de tout cet épisode, c’est qu’il n’y avait rien à corriger pour Microsoft. Azure et Entra ID se sont comportés comme prévu ; les identifiants étaient réels. C’est précisément ainsi que le modèle de responsabilité partagée du cloud est censé fonctionner — et précisément pourquoi il est si impitoyable. Le fournisseur sécurise la plateforme ; le client sécurise l’identité, la configuration et les privilèges. Quand un attaquant se connecte au lieu de s’introduire par effraction, aucun avis d’éditeur ne sauvera un tenant qui a livré une MFA faible, des octrois de principaux de service trop larges et une exposition non gérée aux infostealers.
Pour le marché au sens large, les annonces de TheHatman sont un avant-goût de la manière dont le vol de données d’entreprise fonctionne de plus en plus : non pas une chaîne d’exploitation spectaculaire contre un produit nommé, mais la monétisation silencieuse d’identifiants récoltés à grande échelle sur des terminaux infectés, encaissés contre des tenants cloud qui supposaient qu’un second facteur suffisait. Les organisations qui traverseront ce basculement seront celles qui traitent déjà chaque identité — humaine et machine — comme un périmètre à part entière.
Questions Fréquemment Posées
Y avait-il une vulnérabilité Microsoft ou Azure derrière cette fuite ?
Non. Selon les reportages et l’analyse de Hudson Rock, il n’y a pas de CVE et rien à corriger pour Microsoft — Azure et Entra ID ont fonctionné comme prévu. Le vecteur probable était des identifiants valides, très plausiblement récoltés par un malware infostealer et possiblement aidés par le phishing, une application faible de la MFA ou des intégrations d’API tierces surprivilégiées. En termes de responsabilité partagée du cloud, la défaillance se situe côté client (identité et configuration), non côté plateforme.
Les données volées ont des années et sont « non sensibles » — pourquoi comptent-elles encore ?
Les données d’annuaire ne sont pas comme des cartes de paiement ou des mots de passe que l’on peut réinitialiser ou qui expirent. C’est la carte structurelle d’une organisation : lignes hiérarchiques, comptes de service et noms d’administrateurs globaux. Ceux-ci changent lentement, si bien qu’un annuaire « ancien » reste une carte de ciblage exacte pendant des années. Hudson Rock a averti qu’exposer les noms de comptes de service et d’administrateurs donne aux attaquants une feuille de route directe pour le spear-phishing, la compromission d’e-mail professionnel et les attaques d’escalade de privilèges — ce qui explique pourquoi la défense « c’est vieux de quatre ans » sous-estime le risque.
Quel est le contrôle le plus efficace contre cette classe d’attaque ?
Une MFA résistante au phishing (clés de sécurité FIDO2 ou passkeys) sur les comptes privilégiés et de service, combinée au traitement des infections par infostealer comme des incidents à l’échelle du tenant. La MFA par notification push est vaincue par les attaques de MFA-fatigue et ne fait rien contre un jeton de session volé, de sorte que rejouer une session déjà authentifiée la contourne entièrement. Déployer les méthodes résistantes au phishing d’abord sur les admins, puis révoquer sessions et jetons dès qu’un stealer est détecté, ferme les deux voies sur lesquelles cette campagne s’est appuyée.
Sources et lectures complémentaires
🔗 Intelligence Connexe
Opérations de sécurité assistées par l’IA : SIEM
La guerre du cloud IA : AWS, Azure et GCP dans la course à l’IA
Fuite GitHub de la CISA : 844 Mo de clés cloud gouvernementales exposées pendant six mois
Informatique Confidentielle : L’informatique confidentielle comble la dernière faille du
