سرقة دليل Azure: ماذا يعني تسريب TheHatman لشركات Fortune 500 لمديري أمن المعلومات

اختراق بلا CVE: كيف انتهى تسعة أدلّة مؤسسية للبيع

بين 31 يوليو ومنتصف أغسطس 2026، بدأ فاعل تهديد يعمل تحت اللقب «TheHatman» بالإعلان عن بيع أدلّة موظفين داخلية في منتديات الجريمة السيبرانية، مدّعياً أن كل مجموعة استُخرجت مباشرةً من مستأجر Microsoft Azure للمؤسسة الضحية. ووفقاً لتقرير BleepingComputer عن الحملة، يدّعي الفاعل ما مجموعه نحو 3.64 مليون سجل موزّعة على تسع مؤسسات كبرى — وهي مجموعة إعلانات قدّرها SecurityWeek بنحو 3.5 مليون.

التوزيع بحسب الشركة الذي نشره BleepingComputer لافت باتّساعه: تتصدّر McDonald’s القائمة بأكثر من 1.7 مليون سجل، تليها Tata Consultancy Services (TCS) بأكثر من 800,000، وVodafone بأكثر من 425,000، وHCL Technologies بأكثر من 250,000. وتمثّل InterContinental Hotels Group (IHG) أكثر من 185,000 سجل، وKyndryl أكثر من 170,000، وGap Inc. أكثر من 80,000، وHexaware أكثر من 20,000، وWyndham Hotels نحو 9,000. وتشمل الحقول المكشوفة، بحسب التقرير نفسه، الأسماء الكاملة وعناوين البريد الإلكتروني ومعرّفات الموظفين والمسمّيات الوظيفية وأرقام الهواتف والعناوين البريدية وحسابات الخدمة وسجلات حسابات المستأجر.

ما يميّز هذه الحادثة عن عنوان التسريب المعتاد هو ما هو غائب: لا يوجد CVE، ولا ثغرة يوم-صفر، ولا تصحيح للتطبيق. لم يكن منتجاً معطوباً — بل كانت، بحسب الزعم، بيانات اعتماد صالحة استُخدمت ضد نظام هوية سحابي يعمل بشكل صحيح.

الناقل المرجّح: برمجيات infostealer، لا عمليات الاستغلال

لم تُثبَت طريقة الاختراق الدقيقة بشكل قاطع، والشركات المتضرّرة تنازع في مدى الخطورة. لكن شركة الأمن التي حلّلت التسريبات تشير إلى مذنب مألوف. قدّرت Hudson Rock، التي فحص باحثوها البيانات، أن بيانات اعتماد مخترَقة في حملة infostealer مستهدفة استُخدمت على الأرجح لاستخراج بيانات الدليل، مع الإشارة إلى التصيّد، وضعف فرض المصادقة متعدّدة العوامل (MFA)، وتكاملات واجهات برمجة التطبيقات (API) الطرف الثالث المفرطة الامتيازات كمسارات محتملة إضافية.

وتصف ادّعاءات TheHatman نفسها على المنتديات البيانات بأنها «مُستخرَجة من نُسخ Azure/Entra باستخدام بيانات اعتماد مسرّبة»، وتشير بشكل منفصل إلى تقنيات password-spray وMFA-fatigue — وهما بالضبط التكتيكان منخفضا الجهد مرتفعا الحجم اللذان يزدهران حين تفتقر المستأجرات إلى MFA مقاوِمة للتصيّد وضوابط وصول شرطي. ويُعدّ رشّ كلمات المرور (password spraying) من أكثر أنماط الهجوم شيوعاً ضد مزوّدي الهوية السحابيين، وهجمات MFA-fatigue — حيث يُغرَق المستخدم بإشعارات دفع حتى يوافق على إحداها — فعّالة تحديداً لأنها تستغلّ نفاد صبر الإنسان لا أي خلل تقني.

تهمّ برمجيات infostealer هنا لأنها تهزم النموذج الذهني الذي لا تزال معظم المؤسسات تحمله عن MFA. فبرمجيات سرقة الرموز مثل عائلتَي RedLine وRaccoon تسحب كوكيز المتصفح ورموز التحديث مباشرةً من قرص مصاب، ما يتيح للمهاجم إعادة تشغيل جلسة مصادَقة أصلاً دون أن يواجه شاشة تسجيل الدخول أو العامل الثاني على الإطلاق. والخلاصة للمدافعين غير مريحة: حاسوب محمول واحد مخترَق يخصّ موظفاً واحداً مفرط الامتيازات قد يكفي للخروج بالهيكل التنظيمي بأكمله.

لماذا الهيكل التنظيمي سلاح لا مجرّد إزعاج

سارعت عدة شركات مذكورة إلى التقليل من شأن التسريب، ودفاعها يستحقّ وزناً منصفاً. أبلغت TCS بورصة Bombay أنها لم تجد «دليلاً موثوقاً على اختراق»، مشيرةً إلى أن البيانات تبدو عمرها أربع سنوات على الأقل وتحتوي فقط تفاصيل موظفين أساسية، وأن إجراءات الحماية ضد هجمات password-spray وMFA-fatigue كانت قائمة منذ عامين. وبالمثل صرّحت Gap Inc. بأنها لم تجد دليلاً على اختراق وأن البيانات غير حسّاسة وتعود إلى سنوات عدة.

هذه الردود تفوّت النقطة التي تجعل بيانات الدليل خطِرة. فهذه ليست بيانات بطاقات دفع تنتهي صلاحيتها ولا كلمات مرور يمكن إعادة ضبطها — بل هي الخريطة البنيوية للمؤسسة. وكما حذّرت Hudson Rock، فإن كشف حسابات الخدمة وأسماء مسؤولي النظام العام مقلق بوجه خاص لأنه يوفّر خريطة طريق مباشرة للهندسة الاجتماعية اللاحقة أو التصيّد الموجّه أو هجمات تصعيد الامتيازات المستهدفة. فالدليل يخبر المهاجم من يتبع من، وأي علب بريد تخصّ المالية، وأي حسابات هي كيانات خدمة غير بشرية جديرة بالاستهداف، والأهم — الأسماء الحرفية لحسابات Global Administrator التي تتحكّم في المستأجر.

هذه هي المادة الخام لاختراق بريد الأعمال (BEC) والتصيّد الموجّه المقنعَين. فالمهاجم الذي يعرف اسم مساعد المدير المالي ومديره وتنسيق البريد الداخلي لا يحتاج إلى التخمين؛ يمكنه انتحال شخصية الشخص المناسب أمام الهدف المناسب من المحاولة الأولى. وتتقادم بيانات الدليل بأناقة كأصل هجومي تحديداً لأن خطوط التبعية وهياكل الإدارة تتغيّر ببطء — ما يقوّض دفاع «إنها عمرها أربع سنوات».

ماذا يعني هذا لقادة الأمن

الحادثة دراسة حالة نقية لتحوّل يتراكم منذ عامين: الهوية، لا محيط الشبكة، هي الآن ساحة المعركة الأساسية، وبيانات الاعتماد هي عملية الاستغلال الجديدة. وإليك كيفية التصرّف بشأنها.

1. اِفرض MFA مقاوِمة للتصيّد على الحسابات المميّزة وحسابات الخدمة أولاً

MFA بإشعارات الدفع هي ما صُمّمت هجمات MFA-fatigue لهزيمته، ولا تفعل شيئاً ضد رمز جلسة مسروق. اِنقل مسؤولي النظام العام والأدوار المميّزة وأي حسابات طوارئ «كسر الزجاج» يملكها بشر إلى طرق مقاوِمة للتصيّد (مفاتيح أمان FIDO2 أو passkeys) قبل أن تقلق بشأن عموم المستخدمين. وإذا كانت تسريبات TheHatman تحتوي أسماء حساباتك الإدارية، فافترض أن تلك الهويات باتت الآن على قائمة أهداف وحصّنها هذا الأسبوع، لا الربع المقبل.

2. عامِل إصابات infostealer كحوادث على مستوى المستأجر، لا كتنظيف نقاط طرفية

حين يُبلّغ وكيل نقطة طرفية عن RedLine أو Raccoon أو stealer مماثل، فإن الاستجابة المعيارية — إعادة تصوير الجهاز — نصف المهمة فقط. يجب افتراض أن كل رموز الجلسات ورموز التحديث وبيانات الاعتماد المحفوظة على ذلك الجهاز مسروقة وإبطالها قسراً في Entra ID. اِستبدل بيانات اعتماد المستخدم المتضرّر، وأبطِل الجلسات النشطة، وراجِع ما كان بإمكان ذلك الحساب الوصول إليه. فالحاسوب المحمول المُعاد تصويره مع رمز مسروق لا يزال صالحاً هو مشكلة نقطة طرفية محلولة ومشكلة سحابية مفتوحة.

3. دقّق واحصر امتيازات واجهات API الطرف الثالث وكيانات الخدمة

ذكرت Hudson Rock صراحةً تكاملات واجهات API الطرف الثالث المفرطة الامتيازات كمسار استخراج محتمل. اِحصِ كل تسجيل تطبيق وكيان خدمة يملك أذونات قراءة الدليل، واِنزع أياً منها لا يحتاجها بشكل صارم. فالهويات غير البشرية نادراً ما تُطلق MFA وكثيراً ما تُنسى في مراجعات الوصول — وهو بالضبط سبب مطاردة المهاجمين لها في دليل مسروق.

4. اِفترض أن هيكلك التنظيمي عام أصلاً وأعِد بناء دفاعات BEC وفقاً لذلك

إذا كانت بيانات الدليل تستطيع التسرّب بهذا الهدوء، فينبغي للمدافعين التوقّف عن معاملة هياكل التبعية الداخلية كسرّ، وبدلاً من ذلك تحصين سير العمل الذي يستغلّها. اِشترط تحقّقاً خارج النطاق (out-of-band) لتغييرات الدفع والطلبات الحسّاسة، وأبلِغ عن نطاقات المرسِلين المتشابهة والمسجّلة حديثاً، ودرّب موظفي المالية ومساعدي التنفيذيين تحديداً على أنماط التصيّد الموجّه التي تتيحها هذه البيانات.

الدرس البنيوي: المسؤولية المشتركة في السحابة تقطع في الاتّجاهين

أهمّ سطر في هذه الحادثة كلها هو أنه لم يكن ثمة ما تصلحه Microsoft. فقد تصرّفت Azure وEntra ID كما صُمّمتا؛ وكانت بيانات الاعتماد حقيقية. وهذا بالضبط كيف يُفترض أن يعمل نموذج المسؤولية المشتركة في السحابة — وبالضبط لماذا هو صارم إلى هذا الحد. فالمزوّد يؤمّن المنصّة؛ والعميل يؤمّن الهوية والتهيئة والامتياز. وحين يسجّل مهاجم الدخول بدل أن يقتحم، لن ينقذ أي تنبيه من المورّد مستأجراً شحن MFA ضعيفة، ومنح كيانات خدمة مفرطة الاتّساع، وتعرّضاً غير مُدار لبرمجيات infostealer.

بالنسبة إلى السوق الأوسع، فإن إعلانات TheHatman معاينة لكيفية عمل سرقة بيانات المؤسسات بشكل متزايد: لا سلسلة استغلال درامية ضد منتج مسمّى، بل تسييل هادئ لبيانات اعتماد جُمعت على نطاق واسع من نقاط طرفية مصابة، وصُرفت ضد مستأجرات سحابية افترضت أن عاملاً ثانياً يكفي. والمؤسسات التي ستصمد أمام هذا التحوّل ستكون تلك التي تعامل بالفعل كل هوية — بشرية وآلية — كمحيط قائم بذاته.

الأسئلة الشائعة

المصادر والقراءات الإضافية

• Hacker claims 3.6 million Azure account records stolen from major companies — BleepingComputer
• Fortune 500 Companies Hit in Azure Data Theft Campaign — SecurityWeek
• Hacker claims millions of records stolen from corporate Azure tenants — Help Net Security