Um agente de ameaças que usa o pseudónimo «TheHatman» está a vender, em fóruns de cibercrime, aquilo que descreve como diretórios internos de funcionários extraídos diretamente de tenants Microsoft Azure e Entra ID de grandes multinacionais. A análise publicada a 16 de agosto de 2026 pela Hudson Rock identifica pelo menos nove organizações de grande dimensão nos setores de serviços de TI, hotelaria, telecomunicações, retalho e logística, com a McDonald’s a encabeçar a lista. Nenhuma vulnerabilidade da plataforma Azure foi identificada: tudo aponta para credenciais corporativas roubadas e reutilizadas — o cenário mais banal e, por isso mesmo, o mais perigoso para qualquer organização que dependa de identidade na cloud.
Resposta rápida: Um vendedor conhecido por «TheHatman» anuncia milhões de registos de diretórios Entra ID atribuídos a empresas como McDonald’s, Vodafone, TCS, HCL, IHG, Kyndryl, Gap, Hexaware e Wyndham. Investigadores consideram os dados aparentemente autênticos, mas o vetor de acesso não está confirmado e várias empresas contestam ter sido comprometidas. Não há indício de falha na plataforma Azure — o problema é de credenciais e sessões roubadas. Reveja registos de autenticação no Entra ID, revogue sessões suspeitas, imponha MFA resistente a phishing e limite as permissões de leitura do diretório.
O que está a ser anunciado nos fóruns
Segundo a Hudson Rock, ao longo de uma semana o ator inundou fóruns de cibercrime com extensos diretórios internos de funcionários de empresas Fortune 500, afirmando que os dados foram extraídos diretamente dos tenants Azure das organizações. Num dos anúncios, o vendedor descreve a venda de um «dump» interno de funcionários da McDonald’s alegadamente descarregado do tenant Azure com recurso a credenciais comprometidas. De acordo com a BleepingComputer, os anúncios começaram a 31 de julho e o ator reclama um total de cerca de 3,64 milhões de registos, sendo o mais recente o alegado conjunto da McDonald’s com 1,7 milhões de registos de funcionários.
| Organização mencionada | Registos alegados |
|---|---|
| McDonald’s Corporation | mais de 1.700.000 |
| Tata Consultancy Services (TCS) | cerca de 800.000 |
| Vodafone | cerca de 425.000 |
| HCL Technologies | cerca de 250.000 |
| InterContinental Hotels Group (IHG) | cerca de 185.000 |
| Kyndryl | cerca de 170.000 |
| Gap Inc. | cerca de 80.000 |
| Hexaware Technologies | cerca de 20.000 |
| Wyndham Hotels | cerca de 9.000 |
Os valores acima correspondem ao que o próprio vendedor anuncia e foram reportados, entre outros, pelo The Register, que enumera 1,7 milhões de registos da McDonald’s, 800 mil da TCS, 425 mil da Vodafone e 250 mil da HCL Technologies, além de IHG, Kyndryl, Gap, Hexaware e Wyndham. Não são números confirmados pelas empresas visadas.
Que dados estão em causa (e porque é que «não sensível» engana)
A Hudson Rock indica que as amostras contêm informação de diretório corporativo, incluindo domínios ativos, estruturas específicas de tenant em .onmicrosoft.com, contas de serviço e nomes de administradores globais, e diz ter elevada confiança na autenticidade dos dados. As amostras revistas incluiriam ainda números de telefone, moradas, identificadores de funcionário, cargos, departamentos, localizações de escritório, estruturas hierárquicas e pertenças a grupos.
É precisamente esta estrutura que transforma um simples «lista de contactos» num mapa operacional. Como sublinha a análise, este tipo de dados estruturados é rotineiramente usado para montar campanhas convincentes de Business Email Compromise (BEC) e spear-phishing: conhecendo a estrutura exata de reporte, departamentos e cargos, os atacantes podem fazer-se passar por chefias ou por pessoal de TI para manipular colaboradores. Mesmo informação básica de diretório cria risco quando expõe contas de serviço, administradores e identidades de funcionários, abrindo caminho a engenharia social, ataques a credenciais e tentativas de personificação.
O vetor de entrada continua por confirmar
O atacante afirma ter usado credenciais comprometidas, mas os investigadores não conseguiram estabelecer de forma independente o vetor de acesso inicial, apontando várias hipóteses: credenciais ou cookies de sessão roubados por infostealers, phishing, autenticação multifator fraca ou inexistente e aplicações de terceiros com permissões excessivas. A Hudson Rock refere ainda que a sua base de dados de infostealers contém credenciais Microsoft cloud associadas à maioria das empresas nomeadas, embora não as consiga ligar ao acesso alegado por TheHatman.
A conclusão mais relevante para quem gere infraestruturas é negativa, no bom sentido: não há evidência de vulnerabilidades ou zero-days na plataforma Azure; a campanha assenta em roubo de credenciais e abuso de acesso legítimo. O facto de apenas surgirem grandes empresas, e não um espetro alargado de organizações mais pequenas, reforça essa leitura.
Cronologia conhecida
| Data | Acontecimento |
|---|---|
| 31 de julho de 2026 | Primeiros anúncios atribuídos a «TheHatman» em fóruns de cibercrime |
| 16 de agosto de 2026 | Publicação do anúncio do alegado conjunto da McDonald’s e divulgação da análise técnica da Hudson Rock/InfoStealers |
| 17 de agosto de 2026 | Cobertura internacional generalizada; imprensa especializada recolhe reações das empresas visadas |
| Dias seguintes | TCS e Gap Inc. contestam publicamente as alegações; restantes organizações sem confirmação pública |
As empresas visadas contestam
Numa comunicação à bolsa indiana (National Stock Exchange), a TCS afirmou ter investigado o caso e não ter encontrado «credible evidence of a breach of TCS systems or customer environments», acrescentando que os dados aparentam ter pelo menos quatro anos e conter apenas informação básica de funcionários. O atacante terá alegado o uso de password spraying e fadiga de MFA para comprometer contas da TCS, enquanto a empresa sustenta manter proteções contra essas técnicas há mais de dois anos. Já a Gap Inc. declarou que a investigação preliminar indica que os dados em causa são limitados, não sensíveis e antigos, sem evidência de comprometimento dos seus sistemas corporativos.
Até à publicação das primeiras análises, nenhuma das empresas nomeadas tinha confirmado publicamente a exposição. Também não está estabelecido, a partir das fontes disponíveis, que colaboradores em Portugal estejam abrangidos por qualquer dos conjuntos anunciados — nomeadamente no caso da Vodafone, que opera em vários mercados através de entidades distintas. É um ponto importante: em campanhas deste tipo, o volume anunciado e a veracidade real dos dados nem sempre coincidem, e a antiguidade dos registos pode ser determinante para avaliar o risco.
Medidas concretas para equipas de TI e segurança
- Rever os registos de autenticação do Entra ID e auditar a atividade de leitura de diretório, procurando consultas anómalas à
Microsoft Graph API. - Revogar sessões ativas de contas suspeitas, rodar credenciais expostas e validar as atribuições de funções privilegiadas.
- Impor MFA resistente a phishing (FIDO2/chaves de segurança) e políticas de acesso condicional, sobretudo em contas administrativas.
- Reduzir permissões desnecessárias de leitura do diretório e reavaliar aplicações de terceiros com consentimentos amplos.
- Monitorizar postos de trabalho para atividade de infostealers e vigiar mercados de credenciais comprometidas associadas aos domínios da organização.
Estas recomendações estão alinhadas com as orientações divulgadas por investigadores e imprensa especializada na sequência do caso, que reforçam a revisão de logs de sign-in, a revogação de sessões e o reforço de MFA e acesso condicional (incluindo a redução de permissões desnecessárias no diretório e a monitorização de infostealers nos endpoints). Vale ainda a pena ativar a Continuous Access Evaluation no Entra ID, que reduz o tempo de vida útil de tokens roubados através de revogação quase em tempo real quando são detetados sinais como viagem impossível ou alteração de IP.
Porque é que isto importa em Portugal
O caso ilustra o padrão dominante dos incidentes atuais: não é preciso uma falha na cloud quando basta um portátil infetado por um infostealer para entregar credenciais e cookies de sessão válidos. Para PME portuguesas que usam Microsoft 365 e Entra ID — a esmagadora maioria — a lição é direta: a segurança do tenant depende da higiene de credenciais nos postos de trabalho, incluindo os de fornecedores e prestadores de serviços.
Do ponto de vista legal, dados de diretório corporativo são dados pessoais de trabalhadores. Uma exfiltração deste tipo desencadeia obrigações ao abrigo do RGPD, incluindo a avaliação do risco para os titulares e a eventual notificação à CNPD no prazo de 72 horas, além da comunicação aos próprios trabalhadores quando o risco for elevado. Em paralelo, as entidades abrangidas pelo Regime Jurídico da Cibersegurança, que transpõe a diretiva NIS2, têm deveres reforçados de gestão de risco, controlo de acessos e reporte de incidentes ao CNCS, sendo o CERT.PT o ponto de contacto natural para apoio na resposta. Gerir identidades privilegiadas, registar e vigiar acessos ao diretório e responder com rapidez a credenciais comprometidas deixaram de ser boas práticas opcionais para passarem a ser expectativas regulatórias.
Perguntas frequentes
Houve uma falha de segurança no Microsoft Azure?
Não há evidência disso. Os investigadores indicam que a campanha assenta em credenciais roubadas e abuso de acesso legítimo, e não numa vulnerabilidade ou zero-day da plataforma Azure.
Os dados anunciados são reais?
A Hudson Rock afirma ter elevada confiança na autenticidade das amostras, por corresponderem a exportações típicas de diretórios Azure. Contudo, TCS e Gap Inc. contestam ter sido comprometidas e descrevem os dados como antigos e limitados.
Porque é que um diretório de funcionários é perigoso?
Porque expõe cargos, chefias, contas de serviço e administradores, permitindo personificações muito credíveis em ataques de Business Email Compromise, spear-phishing e fadiga de MFA.
O que deve fazer já uma organização portuguesa?
Auditar acessos e leituras de diretório no Entra ID, revogar sessões suspeitas, rodar credenciais, impor MFA resistente a phishing e acesso condicional, e verificar se existem credenciais dos seus domínios em fugas associadas a infostealers.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Hudson Rock/InfoStealers, por comunicações das empresas visadas e por imprensa especializada internacional.