Non è il volume dei dati a pesare di più, ma il fatto che un export di tenant possa raccontare chi conta davvero dentro l’azienda. Quando in un dump compaiono gerarchie interne, nomi di account privilegiati e service accounts, l’attacco successivo non è più spam generico: è impersonazione mirata contro chi può approvare, pagare o aprire accessi.
Secondo le fonti, TheHatman offre milioni di record attribuiti a tenant Microsoft Azure/Entra di grandi gruppi come McDonald’s, TCS, Vodafone, HCL Technologies e IHG. I dati sembrano esporti legittimi di directory: nomi, email aziendali, numeri di telefono, job title, dettagli dei manager, appartenenza ai gruppi e record di account ad alta privilegio. In questo schema, le credenziali rubate servono a estrarre il contenuto del tenant, e il contenuto serve a scegliere la vittima giusta per spear-phishing, BEC ed escalation.
Per chi gestisce directory centralizzate in Azure/Entra, la posta in gioco è la mappa delle relazioni di fiducia, non solo la sottrazione di PII. Se il dump è autentico, il rischio si sposta subito su dirigenti, amministratori e funzioni finanziarie, con bersagli selezionati in base alla struttura interna dell’organizzazione.