Um vendedor que usa a alcunha «TheHatman» está a anunciar, em fóruns de cibercrime, alegados diretórios internos de funcionários extraídos dos inquilinos (tenants) Azure/Entra ID de nove grandes organizações, num total que diz ascender a cerca de 3,64 milhões de registos. Entre as marcas listadas estão McDonald’s, Tata Consultancy Services (TCS), Vodafone, HCL Technologies, InterContinental Hotels Group (IHG), Kyndryl, Gap, Hexaware e Wyndham Hotels. A investigação disponível não aponta para qualquer vulnerabilidade da plataforma da Microsoft: o cenário mais provável é o abuso de credenciais legítimas roubadas, o que muda por completo a forma como as organizações — incluindo as portuguesas — devem reagir.
Resposta rápida: Um agente de ameaça vende alegados diretórios de funcionários de nove multinacionais, supostamente descarregados de tenants Azure/Entra com credenciais comprometidas. Os investigadores consideram as amostras credíveis, mas o vetor de acesso continua por confirmar e não há indício de falha no Azure; algumas empresas negam qualquer intrusão e dizem que os dados são antigos. A ação recomendada é imediata: rever exportações de diretório, impor MFA resistente a phishing, revogar sessões suspeitas e limitar as permissões de leitura de terceiros no tenant.
O que está exatamente à venda
As publicações começaram a 31 de julho e anunciam bases de dados de colaboradores alegadamente retiradas da infraestrutura Microsoft Azure de várias empresas da Fortune 500, com o vendedor a reivindicar um total de 3,64 milhões de registos e a publicação mais recente — cerca de 1,7 milhões de registos do McDonald’s — feita no domingo. O anunciante afirma que os conjuntos incluem nomes, números de funcionário, endereços de correio eletrónico, cargos, números de telefone, moradas postais, contas de serviço e outros registos de contas do tenant.
Ao longo da última semana, as listagens abrangeram pelo menos nove empresas de grande dimensão dos setores de serviços de TI, hotelaria, telecomunicações, retalho e logística, com o McDonald’s à cabeça (mais de 1,7 milhões de registos), seguido da TCS (cerca de 800 mil), Vodafone (cerca de 425 mil), HCL Technologies (cerca de 250 mil), IHG (cerca de 185 mil), Kyndryl (170 mil), Gap (80 mil), Hexaware (20 mil) e Wyndham Hotels (9 mil).
| Organização alegadamente visada | Registos anunciados (alegação do vendedor) |
|---|---|
| McDonald’s | ~1 700 000 |
| Tata Consultancy Services | ~800 000 |
| Vodafone | ~425 000 |
| HCL Technologies | ~250 000 |
| InterContinental Hotels Group | ~185 000 |
| Kyndryl | ~170 000 |
| Gap | ~80 000 |
| Hexaware Technologies | ~20 000 |
| Wyndham Hotels | ~9 000 |
Porque é que os investigadores levam a sério as amostras
Para cada base de dados anunciada, o vendedor disponibilizou uma amostra a potenciais compradores. A empresa de informação sobre cibercrime Hudson Rock analisou os ficheiros e concluiu que contêm atributos típicos de diretórios corporativos, com campos que incluem domínios ativos e estruturas específicas do tenant em .onmicrosoft.com, além de contas de serviço e nomes de administradores globais — material que facilita engenharia social e spearphishing. A firma tem elevada confiança na autenticidade dos dados, mas o vetor de acesso e o método de exfiltração permanecem desconhecidos. O BleepingComputer indicou não ter conseguido verificar de forma independente a autenticidade dos dados.
Há um detalhe técnico relevante para quem administra tenants Microsoft. Numa análise à amostra do McDonald’s, foi assinalado que nomes de colunas como FacsimileTelephoneNumber e PhysicalDeliveryOfficeName correspondem às propriedades devolvidas pelas ferramentas PowerShell da Microsoft quando um administrador exporta a lista de utilizadores do Entra ID — ou seja, o ficheiro parece resultar de um comando de exportação padrão. A mesma análise nota a presença do endereço interno do tenant em onmicrosoft.com, um elemento que não é visível a partir do exterior da organização.
Sem zero-day: o problema é a identidade
O atacante alega ter usado credenciais comprometidas, mas os investigadores não conseguiram estabelecer o vetor de acesso inicial e admitem várias hipóteses: credenciais ou cookies de sessão roubados por infostealers, phishing, autenticação multifator fraca ou ausente e aplicações de terceiros com permissões excessivas. A Hudson Rock indicou ainda que a sua base de dados de infostealers continha credenciais Microsoft comprometidas associadas à maioria das empresas nomeadas, sem conseguir ligá-las ao acesso reivindicado. Segundo a empresa, a dimensão das organizações afetadas torna mais provável a exploração dirigida de infeções por infostealer do que uma vulnerabilidade sistémica no Azure.
Foram identificadas credenciais Azure comprometidas ligadas a infeções por infostealer em várias das entidades nomeadas, incluindo TCS, HCL Technologies, Gap e Kyndryl, embora não fique demonstrado que essas infeções permitiram, em cada caso, a extração dos diretórios; a informação disponível também não indica qualquer vulnerabilidade no próprio Microsoft Azure. Para os defensores, a leitura é clara: não há remendo para instalar, há higiene de identidade para reforçar.
| Data | Acontecimento |
|---|---|
| 31 de julho de 2026 | Primeiras publicações do vendedor «TheHatman» a anunciar despejos de dados de grandes organizações. |
| 11 de agosto de 2026 | A TCS comunica ter recebido alertas de threat intelligence sobre alegada exposição de dados de colaboradores, na sequência de um aviso público que sinalizou a listagem de mais de 800 mil registos. |
| 16 de agosto de 2026 | Publicação do relatório da Hudson Rock sobre a campanha. No mesmo dia surge a listagem com 1,7 milhões de alegados registos do McDonald’s. |
| 17-18 de agosto de 2026 | Cobertura internacional alargada e primeiras reações públicas das empresas visadas. |
O que dizem as empresas visadas
Numa comunicação à bolsa nacional indiana, a TCS afirmou ter investigado a alegada violação e não ter encontrado evidência credível de comprometimento dos seus sistemas ou dos ambientes de clientes, acrescentando que os dados aparentam ter pelo menos quatro anos e limitar-se a informação básica de funcionários, e que o atacante alega ter recorrido a password spraying e a fadiga de MFA. A empresa referiu ainda que essas técnicas correspondem à alegação do atacante e não a uma conclusão da sua própria investigação.
A Gap também declarou não ter encontrado indícios de comprometimento dos seus sistemas de negócio, descrevendo a informação anunciada como limitada, não sensível e com vários anos. À data do relatório da Hudson Rock, nenhuma das empresas nomeadas tinha confirmado publicamente a alegada exposição. É prudente, por isso, tratar todos os números como reivindicações: no caso da TCS, os 800 mil registos anunciados superam largamente a força de trabalho atual da empresa, o que sugere agregação de dados antigos.
Porque é que um diretório «só com dados básicos» é perigoso
Um export de diretório não contém segredos, mas contém o mapa da organização. Dados estruturados deste tipo são rotineiramente usados em campanhas de comprometimento de correio eletrónico empresarial (BEC) e spearphishing, e a identificação de contas de serviço e de administradores globais dá a corretores de acesso inicial e a operadores de ransomware um roteiro preciso dos alvos de maior valor. Nomes, cargos, hierarquia e números de telefone permitem que um atacante ligue para um service desk a fazer-se passar por um colaborador real e peça a reposição do método de MFA — o cenário clássico de vishing que precede muitos incidentes graves.
Medidas concretas para quem administra um tenant Microsoft
- Impor MFA resistente a phishing (FIDO2/passkeys) para todas as contas privilegiadas e ativar a correspondência de números para mitigar fadiga de MFA. As recomendações prioritárias dos investigadores passam precisamente por MFA estrita em todos os portais Azure/Entra e pela revisão e revogação de sessões e credenciais suspeitas.
- Bloquear a autenticação legada e aplicar políticas de Acesso Condicional por risco, localização e conformidade do dispositivo.
- Restringir a leitura do diretório: limitar o acesso de utilizadores comuns ao portal de administração, rever consents de aplicações OAuth e permissões do Microsoft Graph atribuídas a integrações de terceiros.
- Caçar sinais de exportação em massa nos registos de auditoria e de início de sessão: consultas anómalas ao Graph, uso de cmdlets de exportação, autenticações a partir de ASN atípicos e padrões de password spraying.
- Monitorizar credenciais corporativas expostas por infostealers e forçar reposição de palavra-passe com revogação de tokens de sessão sempre que surja um dispositivo infetado.
- Reforçar os procedimentos de identificação no service desk, assumindo que o atacante conhece nome, cargo, chefia e número de funcionário da vítima.
Note-se que, neste caso, não existem CVE nem indicadores de comprometimento técnicos publicados: a campanha assenta em roubo de credenciais e abuso de acesso legítimo, sem evidência de vulnerabilidades ou zero-days na plataforma. Os «indicadores» úteis são, portanto, comportamentais.
O que isto significa para organizações em Portugal
Ainda que se trate de multinacionais, várias das marcas envolvidas têm presença ou operações em Portugal e o modelo de ataque é perfeitamente replicável em PME nacionais que usam Microsoft 365. Se um diretório com dados de colaboradores portugueses for exfiltrado, aplica-se o RGPD: a violação deve ser notificada à CNPD no prazo de 72 horas, salvo se for improvável que resulte em risco para os direitos e liberdades dos titulares, e os próprios trabalhadores podem ter de ser informados quando o risco for elevado. Convém sublinhar que dados profissionais «básicos» são, ainda assim, dados pessoais.
No plano da segurança, o Regime Jurídico da Cibersegurança, aprovado pelo Decreto-Lei n.º 125/2025 que transpõe a diretiva NIS2, impõe às entidades abrangidas obrigações de gestão de risco — incluindo controlo de acessos, autenticação multifator e segurança da cadeia de fornecimento — e um regime de notificação de incidentes significativos ao CNCS, com alerta inicial em prazo curto. Setores como telecomunicações, TI geridas, transportes ou distribuição estão diretamente no âmbito, e um comprometimento de identidades cloud num fornecedor pode propagar-se rapidamente aos clientes. O CERT.PT, no seio do CNCS, é o ponto de contacto para apoio à resposta e para partilha de indicadores. Para as PME, a lição prática é barata: MFA forte em todo o lado, revisão das aplicações com acesso ao tenant e formação para reconhecer contactos que «sabem demasiado» sobre a organização.
Perguntas frequentes
Houve uma falha de segurança no Microsoft Azure?
Não há evidência disso. Os investigadores não encontraram indícios de vulnerabilidade ou zero-day na plataforma; a campanha assenta em roubo de credenciais e abuso de acesso legítimo. A responsabilidade recai sobre a proteção das identidades em cada organização.
Os dados anunciados são autênticos?
A Hudson Rock afirma ter elevada confiança na autenticidade, embora o vetor de acesso continue desconhecido, e o BleepingComputer não conseguiu verificar os dados de forma independente. Várias empresas visadas negam intrusão e apontam que a informação é antiga.
Que riscos correm os colaboradores cujos dados constem destas listas?
O risco principal é a fraude dirigida. Este tipo de dados estruturados é usado em campanhas de BEC e spearphishing altamente convincentes, além de chamadas telefónicas fraudulentas que tentam obter reposições de palavra-passe ou de MFA.
A minha PME tem de notificar a CNPD se perder o diretório de utilizadores?
Provavelmente sim. Os dados de contacto profissional são dados pessoais e o RGPD exige notificação à CNPD em 72 horas quando a violação represente risco para os titulares. Entidades abrangidas pelo Decreto-Lei n.º 125/2025 têm ainda de reportar incidentes significativos ao CNCS.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Hudson Rock, pelas empresas visadas em comunicações públicas e por publicações especializadas de cibersegurança.