Azure : McDonald's, Vodafone et TCS dans une brèche massive

Des millions de fiches d'entreprises Fortune 500 proposées à la vente sur le dark web

Depuis la mi-août 2026, un acteur malveillant répondant au pseudonyme « TheHatman » agite les forums du dark web en proposant à la vente des millions d'enregistrements prétendument extraits des environnements Microsoft Azure et Microsoft Entra de certaines des plus grandes entreprises mondiales. L'information, d'abord relevée par The Register le 17 août 2026 puis relayée par SecurityWeek, Cybernews et InfoStealers.com, révèle l'ampleur d'une campagne d'exfiltration qui touche des secteurs aussi variés que la restauration rapide, les télécommunications, l'informatique et l'hôtellerie.

Selon les annonces publiées sur les places de marché cybercriminelles, « TheHatman » affirme être en possession de plus de 1,7 million d'enregistrements issus des systèmes de McDonald's, 800 000 de Tata Consultancy Services (TCS), 425 000 de Vodafone, 250 000 de HCL Technologies et 170 000 de Kyndryl. Des données provenant de Gap Inc., d'InterContinental Hotels Group (IHG), de Wyndham Hotels et de l'entreprise d'outsourcing Hexaware seraient également dans le lot. Au total, les données mises en vente représentent plusieurs millions d'enregistrements concernant principalement des annuaires d'employés : noms complets, adresses e-mail professionnelles, numéros de téléphone, intitulés de postes et localisations des sites de travail.

La méthode d'intrusion présumée repose sur l'exploitation de credentials compromis plutôt que sur une vulnérabilité technique des plateformes Azure elles-mêmes. Les chercheurs de la société Hudson Rock, spécialisée dans l'analyse des infections par infostealers, ont déclaré avoir identifié des identifiants Azure compromis liés à des infections par logiciels voleurs de données en rapport avec la majorité des entreprises citées dans les annonces. Des machines appartenant à des employés de TCS, Gap Inc., HCL Technologies et Kyndryl ont notamment été tracées dans les bases de données d'infostealers analysées par la société, ce qui accrédite la thèse d'une campagne d'exfiltration alimentée par un approvisionnement massif en credentials issus de marchés cybercriminels spécialisés.

La distinction est importante : Microsoft Azure et Microsoft Entra ne sont pas en cause pour une faille technique propre à leurs services. Ce sont les comptes d'employés des organisations victimes — probablement compromis par des campagnes de phishing ou des infostealers déployés sur des appareils personnels ou professionnels — qui ont été utilisés pour s'authentifier légitimement sur les tenants Azure des entreprises concernées et en extraire les données des annuaires d'utilisateurs. Ce type d'attaque, qui contourne les contrôles de sécurité périmétrique en utilisant des identifiants valides, est en forte progression depuis deux ans et représente désormais l'un des vecteurs d'intrusion initiaux les plus courants selon les rapports de Mandiant et de CrowdStrike.

Au moment de la publication des premières révélations, ni McDonald's, ni Vodafone, ni TCS n'avaient émis de déclarations publiques confirmant ou infirmant les intrusions. Kyndryl, ex-filiale infrastructure d'IBM, n'a pas non plus communiqué. Ce silence est typique de la phase initiale de ce type d'incident : les entreprises procèdent d'abord à des investigations internes avant toute prise de parole publique, un processus qui peut prendre plusieurs jours à plusieurs semaines. La portée exacte de la campagne, notamment le volume réel de personnes dont les données ont été exposées, ne peut donc pas encore être établie avec certitude.

Les données mises en vente, décrites comme des exports d'annuaires Azure Entra, sont cohérentes avec le type d'informations qu'un attaquant ayant obtenu un accès authentifié à un tenant Azure pourrait extraire via les API Microsoft Graph. Ces API, conçues pour permettre aux développeurs et administrateurs d'interroger les ressources organisationnelles, sont régulièrement détournées dans les campagnes d'espionnage industriel et de collecte de données à grande échelle. Un acteur malveillant disposant d'un compte compromis peut potentiellement lister l'ensemble des utilisateurs d'un tenant, récupérer leurs attributs de profil et exporter le tout en format structuré, même avec des privilèges limités dans certaines configurations.

L'affaire s'inscrit dans une tendance plus large documentée depuis 2024 : l'industrialisation des attaques ciblant les environnements cloud d'entreprise via des credentials volés. Des groupes comme Scattered Spider ont popularisé cette approche en ciblant des employés via du vishing (hameçonnage vocal) et du smishing pour obtenir leurs identifiants Azure et Okta. La campagne de « TheHatman » semble reposer davantage sur l'achat de credentials préalablement volés par des infostealers — logiciels malveillants comme Lumma Stealer, RedLine ou Vidar — dont les journaux sont régulièrement commercialisés en masse sur les marchés russophones. Cette approche permet à des acteurs aux capacités techniques limitées d'atteindre des cibles de très grande envergure à moindre coût.

Si les données exposées comprennent principalement des informations professionnelles, elles constituent néanmoins une ressource précieuse pour des campagnes ultérieures d'ingénierie sociale, de spear phishing ou de Business Email Compromise (BEC). Des acteurs malveillants peuvent croiser ces annuaires avec d'autres bases de données déjà disponibles sur le dark web pour construire des profils détaillés de cibles à forte valeur. Les cadres dirigeants, les équipes finance et les équipes IT figurent généralement en tête des listes de priorités dans ce type de campagne de ciblage secondaire. Dans certains secteurs — hôtellerie, commerce de détail — des données clients pourraient également avoir été exposées si les tenants Azure compromis hébergeaient des applications métier connectées à des bases clients.

Une menace structurelle sur les environnements cloud d'entreprise

La campagne attribuée à « TheHatman » illustre une évolution structurelle de la menace pesant sur les infrastructures cloud d'entreprise. En 2023 et 2024, le groupe Midnight Blizzard (APT29, lié aux services de renseignement russes) avait réussi à pénétrer les environnements Microsoft 365 de plusieurs gouvernements et organisations de défense en exploitant des comptes de service mal configurés. En 2025, Scattered Spider avait extorqué plusieurs grandes organisations américaines en combinant attaques d'ingénierie sociale et prise de contrôle de tenants cloud. En 2026, la menace s'est encore démocratisée : des acteurs aux capacités plus modestes, mais disposant d'un accès à des marchés de credentials alimentés par des millions d'infections par infostealers, peuvent reproduire ces techniques à grande échelle.

Pour les entreprises françaises et européennes utilisant Microsoft Azure et Entra ID, cet incident est un signal d'alarme direct. Le volume de données mis en vente et la diversité sectorielle des victimes présumées témoignent d'une campagne opportuniste plutôt que chirurgicale : l'attaquant n'a pas ciblé une organisation en particulier, mais a exploité de manière systématique un pool de credentials disponibles sur le marché noir pour interroger les APIs de chaque tenant accessible. Cette logique de pillage industriel est particulièrement difficile à contrer avec les seuls outils de sécurité périmétrique traditionnels comme les pare-feux et les antivirus.

Les implications réglementaires sont également significatives. En vertu du RGPD, toute organisation dont les données d'employés ou de clients ont été exfiltrées doit notifier l'autorité de contrôle compétente — en France, la CNIL — dans un délai de 72 heures suivant la prise de connaissance de la violation, lorsque celle-ci présente un risque pour les personnes concernées. Les données professionnelles comme les adresses e-mail et numéros de téléphone peuvent suffire à déclencher cette obligation si elles peuvent être utilisées pour causer un préjudice aux individus. Les entreprises concernées qui tardent à investiguer s'exposent donc à une double sanction : celle des attaquants et celle des régulateurs.

Cette affaire souligne l'importance croissante de la gestion des accès à privilèges (PAM) et de la détection des comportements anormaux dans les environnements cloud. Les solutions CASB (Cloud Access Security Broker) et les capacités de détection basées sur l'analyse comportementale (UEBA) sont aujourd'hui les premiers remparts contre ce type d'exfiltration pilotée par des credentials légitimes. Vérifier régulièrement les applications tierces autorisées sur les tenants Azure, restreindre les permissions d'accès aux API Microsoft Graph, appliquer le principe du moindre privilège et activer les alertes sur les exports massifs d'annuaires constituent des mesures de base que trop d'organisations négligent encore dans leur posture de sécurité cloud.

Ce qu'il faut retenir

• Une campagne d'exfiltration via des credentials Azure compromis expose les annuaires internes de McDonald's, Vodafone, TCS et d'autres géants Fortune 500 — des millions d'enregistrements proposés à la vente sur le dark web par l'acteur « TheHatman » depuis le 17 août 2026.
• L'attaque repose sur des identifiants volés par des infostealers, non sur une faille Azure : le vecteur est difficile à bloquer sans authentification multifacteur résistante au phishing et surveillance comportementale des accès cloud.
• Actions immédiates recommandées : auditer les accès aux API Microsoft Graph, réviser les permissions des applications tierces, activer le Conditional Access et la MFA résistante au phishing, et surveiller les exports massifs d'annuaires dans les journaux Entra ID.