ハッカーがマクドナルドなど9社へ不正アクセスしAzure／Entra IDデータ約364万件を販売-TCS・HCLTech・Gapはシステム侵害を否定|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月19日更新日時: 2026年08月19日

脅威アクター「TheHatman」が、マクドナルド、Vodafone、Tata Consultancy Services（TCS）など9社のMicrosoft Azure／Microsoft Entra ID環境から取得したとするデータを、サイバー犯罪フォーラムで販売しています。投稿上の件数を単純合計すると約363万9,000件に上ります。

脅威インテリジェンス企業Hudson Rockは、サンプルに含まれる企業ドメインのメールアドレスや項目構成から、データは「真正性が高い」と評価しました。一方、侵入経路や取得時期は特定できておらず、同社が確認したインフォスティーラー由来の認証情報が今回のアクセスに使われた証拠も示されていません。

企業側の説明とも差があります。TCSとHCLTechは自社システムへの侵害を確認しておらず、対象とされた情報は数年前のものとみられると説明しました。GapもBleepingComputerの取材に対し、企業システムが侵害された証拠はなく、データは限定的で機微性が低く、数年前のものとの見解を示しています。現時点で「9社から約364万件が新たに漏えいした」「Microsoft Azureの脆弱性が悪用された」と断定できる状況ではありません。

Azure／Entra IDデータ販売投稿のサマリー

確認済みの事実

2026年7月31日から8月16日にかけて、TheHatman名義のアカウントが9社に関するデータ販売投稿を行いました
セキュリティ対策Labが確認した投稿一覧には、McDonald’s、Gap、Vodafone、TCS、HCLTech、IHG、Wyndham、Hexaware、Kyndrylの名称が掲載されています
マクドナルドに関する投稿では、侵害した認証情報を使ってAzureテナントから取得したと主張し、170万件超と8,000件のサンプル提供を掲げていました
投稿で列挙された主な項目は、氏名、従業員ID、企業メールアドレス、役職、部署、電話番号、住所、サービスアカウントなどです
Hudson Rockはサンプルを調査し、企業ドメインとAzureディレクトリのエクスポートに整合する項目名を確認したと報告しました
TCSは自社および顧客環境への侵害を示す信頼できる証拠はなく、情報は4年以上前の基本的な従業員情報とみられると公表しました
HCLTechは自社システムや顧客案件への侵害を示す証拠はなく、情報は限定的で数年前のものとみられると公表しました
GapはBleepingComputerの取材に対し、企業システム侵害の証拠はなく、情報は限定的で機微性が低く、数年前のものと回答しました

未確認・留意点

約363万9,000件は攻撃者が掲げた数字の合計であり、各社が確認した漏えい件数ではありません
各投稿の「レコード」には従業員だけでなく、サービスアカウントや取引先アカウント、重複データが含まれる可能性があります
Hudson Rockはデータの真正性を高く評価していますが、取得元、取得時期、全件数を独立に確認したわけではありません
初期侵入経路は判明していません。インフォスティーラー、フィッシング、パスワードスプレー、MFA疲労攻撃、過剰な権限を持つ連携アプリなどは仮説です
Microsoft Azure／Entra IDのゼロデイ脆弱性や、Microsoftのクラウド基盤自体への侵害を示す証拠は確認されていません
2026年8月18日（日本時間）時点で、マクドナルド、Vodafone、IHG、Kyndryl、Hexaware、Wyndhamによる本件の公式確認は見つかっていません
添付されたParkingPay.jpの投稿画像は2024年9月の別アカウントによる別事案であり、本キャンペーンの集計や根拠には含めていません

項目	内容
調査レポート公表日	2026年8月16日
販売投稿の確認期間	2026年7月31日～8月16日と報告されています
投稿者	TheHatmanを名乗るアカウント。実在人物や組織との関係は未確認です
対象として挙げられた組織	9社
攻撃者が主張する合計	約363万9,000件超。公式確認件数ではありません
主張された取得元	各社のAzureテナント／Entra ID環境
主張された侵入経路	侵害された認証情報。具体的なアカウントやアクセス方法は未確認です
調査会社の評価	サンプルは真正性が高いと評価。ただし侵入経路と取得時期は未確定です
企業による確認	TCS、HCLTech、Gapは現行システムへの侵害を否定し、古い情報との見解を示しています
Microsoftの発表	本キャンペーンに関する公式発表は確認できませんでした

TheHatmanが販売を主張した9社と件数

以下は、販売投稿とHudson Rockの調査レポートに記載された数字です。「対象人数」や「漏えい確認件数」ではありません。

組織	攻撃者が主張する件数	投稿・調査レポートで示された主な情報	2026年8月18日時点の確認状況
McDonald’s Corporation	170万件超	氏名、従業員ID、メール、役職、部署、電話、住所、サービスアカウントなど	公式確認を確認できませんでした
Tata Consultancy Services（TCS）	80万件超	氏名、メール、役職、電話、住所など	システム侵害を示す信頼できる証拠はないと公表。情報は4年以上前の基本的な従業員情報との見解です
Vodafone	42万5,000件超	氏名、メール、役職、電話、住所など	公式確認を確認できませんでした
HCLTech	25万件超	氏名、メール、役職、電話、住所など	自社システムや顧客案件への侵害を示す証拠はないと公表。情報は限定的で数年前のものとの見解です
InterContinental Hotels Group（IHG）	18万5,000件超	氏名、メール、役職、電話、住所など	公式確認を確認できませんでした
Kyndryl	17万件超	従業員・サービスアカウント、テナント内アカウント、管理者情報など	公式確認を確認できませんでした
Gap Inc.	8万件超	氏名、メール、役職、電話、住所など	BleepingComputerの取材に、企業システム侵害の証拠はなく、限定的で機微性が低い古いデータと回答しました
Hexaware Technologies	2万件超	氏名、従業員ID、メール、電話、住所など	公式確認を確認できませんでした
Wyndham Hotels & Resorts	9,000件超	氏名、メール、役職、電話、住所など	公式確認を確認できませんでした

単純合計は363万9,000件ですが、対象者の重複、無効化済みアカウント、サービスアカウント、取引先アカウントの混在は確認できていません。したがって「約364万人の個人情報が漏えいした」と言い換えることはできません。

マクドナルドの販売投稿で確認できた内容

ハッカーがマクドナルドなど9社へ不正アクセスしAzure／Entra IDデータ約364万件を販売-TCS・HCLTech・Gapはシステム侵害を否定

セキュリティ対策Labが確認したフォーラム画像では、TheHatmanはマクドナルドの「社内従業員ダンプ」を、侵害した認証情報を使ってAzureテナントから直接取得したと主張しています。件数は170万件超とされ、氏名、従業員ID、メールアドレス、役職、部署、電話番号、住所のほか、従業員アカウント、サービスアカウント、その他のテナント内アカウントを含むと説明していました。

投稿には8,000件のサンプルへのリンクも記載されていましたが、本稿では当該ファイルを取得していません。犯罪フォーラム上の配布ファイルは、個人情報の不適切な取得に加え、マルウェアや追跡用コンテンツを含む危険があるためです。

アカウントのプロフィール上、TheHatmanは2026年3月に参加し、確認時点の投稿数とスレッド数はいずれも9件でした。この表示だけでは、同一人物が実際に各社環境へアクセスしたことや、別の入手元から取得したデータを再販売している可能性を判別できません。

Hudson Rockはデータの真正性を高く評価、侵入経路は特定できず

Hudson Rockは、販売サンプルに企業ドメインのメールアドレス、テナント固有の「onmicrosoft.com」形式、Microsoft Entra IDのディレクトリ出力と整合する項目名が含まれていたと報告しました。氏名や連絡先だけでなく、従業員ID、部署、上司と部下の関係、グループ所属、サービスアカウント、Global Administratorなどの高権限アカウントに関する記録も確認したとしています。

ただし、真正な情報が含まれていることと、攻撃者が説明した取得時期・取得元・侵入方法が正しいことは別です。

古い社内名簿や過去に別経路で取得された情報でも、企業ドメインやディレクトリ形式は整合します。TCS、HCLTech、Gapが古い情報との見解を示している点は、この区別の重要性を示しています。

Hudson Rockは、対象企業の多くに関連するMicrosoftクラウドの認証情報を、インフォスティーラー感染端末の記録から確認したとしています。しかし、その認証情報がTheHatmanによるアクセスに使われたことは確認していません。同社が挙げたインフォスティーラー、フィッシング、MFAの不備、過剰な読み取り権限を持つAPI連携は、いずれも調査上の仮説です。

Microsoftも、インフォスティーラーがパスワード、Cookie、セッショントークンを窃取し、従業員の私物端末1台の感染から企業のVPN、SSO、クラウド環境への侵入に発展し得ると説明しています。セッションCookieが盗まれた場合、パスワード変更や従来型MFAだけではアクセスを直ちに止められないことがあります。

TCS、HCLTech、Gapは現行システムへの侵害を否定

TCSは2026年8月10日、従業員情報が露出した可能性を示す脅威インテリジェンスの通知を受けて調査した結果、TCSのシステムや顧客環境への侵害を示す信頼できる証拠は確認していないと取引所へ報告しました。対象とされた情報は4年以上前の基本的な従業員情報とみられ、顧客データ、顧客システム、TCSの業務システムへの影響も確認していないとしています。

TCSによると、攻撃者はパスワードスプレーとMFA疲労攻撃を使ったと主張しました。TCSは、こうした手口に対する保護策を2年以上前から運用しており、確認時点でも有効に機能していると説明しています。これは攻撃者側の説明であり、TCSが侵入経路として確認したものではありません。

HCLTechも同日、初期調査では対象情報が限定的で数年前のものとみられ、自社システムや顧客案件への侵害を示す証拠はないと公表しました。調査は継続しており、重要な結果が判明した場合は報告するとしています。

Gapは公式リリースではなくBleepingComputerへの回答として、対象データは限定的で機微性が低く、数年前のものであり、企業システムが侵害された証拠はないとの見解を示しました。

このため、本件の現状は「攻撃者がデータを販売し、調査会社がサンプルの真正性を高く評価している一方、少なくとも3社は最近のシステム侵害を否定している」です。9社すべてで新たな漏えいが確認された事案として扱うのは適切ではありません。

Microsoft Azureの侵害ではなく、顧客テナントの認証情報悪用が主張されている

Microsoft Entra IDは、組織のユーザー、グループ、アプリケーション、端末、管理ロールなどを管理するID基盤です。Azureテナントは企業ごとに分離された環境であり、ある企業の認証情報が悪用されたことは、Microsoftのクラウド基盤全体が侵害されたことを意味しません。

Microsoftの公式資料によると、テナントの一般メンバーユーザーは、既定で全ユーザーと連絡先の列挙、公開プロパティの参照、全グループと管理ロールの列挙など、幅広いディレクトリ情報を読み取れます。一部の操作には、利用するアプリ側にもDirectory.Read.Allなどの委任権限が必要です。

この設計では、管理者権限を持たないアカウントでも、侵害されれば組織構造や高価値アカウントの探索に使われる可能性があります。今回の主張が事実であれば、脆弱性を悪用せず、正規の認証と参照権限の範囲で大量の情報を取得した可能性も検討対象になります。

2026年8月18日時点で、Microsoftが本キャンペーンや共通脆弱性を公式に確認した発表は見つかっていません。Hudson Rockも、Azureのシステム的なゼロデイより、認証情報の侵害を起点とする可能性が高いとの見方を示していますが、これは推定です。

社内名簿データはBECや標的型攻撃の精度を高める

販売投稿で挙げられた情報には、現時点でパスワードそのものは列挙されていません。しかし、氏名、役職、上司と部下の関係、電話番号、メールアドレスが組み合わされると、実在する経営者、経理責任者、IT管理者、ヘルプデスク担当者になりすます材料になります。

特に、Global Administratorやサービスアカウントの名称、管理部門の報告経路が分かれば、MFAの再登録、パスワードリセット、緊急送金などを口実にした標的型の連絡を作りやすくなります。古い名簿でも、在籍者やメール命名規則、組織構造の一部が現在も有効なら、攻撃の事前調査に利用できます。

国内でも、実在する社長名のメールからLINEなどへ誘導し、従業員に送金させるニセ社長詐欺が相次いでいます。手口と対策は、セキュリティ対策Labのビジネスメール詐欺（BEC）・ニセ社長詐欺不正送金被害まとめで整理しています。

また、パスワードではなくセッションクッキーやトークンが窃取されるリスクについては、急増する「アイデンティティ型攻撃」も参照してください。

Entra ID管理者が確認すべき検出と初動対応

今回の報告には、共通する攻撃元IPアドレス、アプリID、User-Agentなど、各社が照合できる確定IoCは掲載されていません。企業名が販売投稿に出ていない場合でも、IDとMicrosoft Graphの利用状況を基準に異常を探す必要があります。

優先度	対応	確認ポイント
1	ログを保全する	Entra IDの対話型・非対話型サインイン、サービスプリンシパル、マネージドID、監査ログを調査期間分保存します。SIEMへ転送している場合は保持期間と欠損を確認します
1	Microsoft Graphの大量参照を調べる	Microsoft Graph activity logsで、ユーザー、グループ、管理ロール、アプリ、端末に対する通常と異なる大量参照を確認します。送信元IP、アプリID、ユーザー、時刻、応答量を関連付けます
1	侵害が疑われるIDを封じ込める	新規サインインをブロックし、セッションとリフレッシュトークンを失効させます。安全な端末からパスワード変更とMFA再登録を行い、感染が疑われる端末を隔離・調査します
2	Identity Protectionを確認する	漏えいした認証情報、パスワードスプレー、異常なトークン、匿名IP、通常と異なる場所・端末・アプリからのサインインを確認します
2	侵害後の変更を調べる	新規アプリ登録、OAuth同意、資格情報の追加、管理ロール変更、グループ変更、メール転送ルール、認証方法の変更を監査します
2	管理者認証を強化する	Global Administratorなどの管理ロールには、パスキーやFIDO2セキュリティキーなどのフィッシング耐性MFAを必須化し、PIMで常時権限を減らします
2	アプリとワークロードIDを見直す	Directory.Read.Allなど広範な読み取り権限を持つ連携アプリ、長期有効なシークレット、未使用のサービスプリンシパルを棚卸しします。可能な範囲で証明書やマネージドIDへ移行します
3	ディレクトリ内の情報を最小化する	電話番号、住所、従業員ID、メモ、組織情報などをEntra IDへ保持する必要性と公開範囲を再評価します。退職者、休眠アカウント、不要な連絡先も削除します
3	BEC対策を強化する	経営層、経理、ヘルプデスクへ注意喚起し、送金、MFA再登録、連絡先変更は既知の電話番号など別経路で確認する運用にします

Microsoft Graph activity logsは、テナントに対してMicrosoft Graphが受信・処理したHTTPリクエストの監査証跡です。Microsoft Entra ID P1またはP2などの前提条件があり、管理者が診断設定で収集先を構成する必要があります。未設定の組織は、今回のようなディレクトリ大量参照を追跡できるよう、Log Analytics、ストレージ、Event Hubsなどへの転送を検討する必要があります。

インフォスティーラー感染が疑われる場合、パスワード変更だけで終わらせてはいけません。感染端末に保存された新しい認証情報が再び窃取される可能性があるため、端末の隔離とフォレンジック、全セッションの失効、他サービスで使い回している認証情報の変更を一連の対応として行います。最近の配布手口とCookie窃取の例は、PureLogsの新たな配布手口「VEIL#DROP」でも解説しています。

情報システム部門への示唆

本件で最も重要なのは、「管理者アカウントが奪われた形跡がない」ことをもって調査を終了しないことです。Entra IDの一般メンバーには幅広いディレクトリ参照権限があり、低権限アカウントでも組織名簿を取得できる場合があります。認証ログだけでなく、Microsoft Graphで何を、どの量、どのアプリから参照したかを確認する必要があります。

企業側が示した「数年前の情報」という説明も、対策不要を意味しません。データが古い場合は最近の侵害という主張を弱めますが、現役のメールアドレス、電話番号、管理者名、組織構造が残っていれば、BECやヘルプデスク詐欺に使われます。該当者には、公開情報ではなく社内名簿に基づく連絡であっても本人確認を省略しないよう周知する必要があります。

また、Entra IDを人事マスターの複製先として扱い、業務に不要な住所や電話番号、詳細な組織情報まで同期している場合は、情報最小化の観点から設計を見直すべきです。侵害を完全に防げない前提に立ち、1アカウントが取得できる情報量を減らすことが被害範囲の抑制につながります。

現時点では、攻撃者の販売投稿、研究会社のサンプル評価、各社の調査結果が一致していません。新たな公式発表が出た場合は、漏えいの有無、取得時期、対象件数、顧客データへの影響、侵入経路を分けて更新する必要があります。