La respuesta corta
Desde el 31 de julio de 2026, un atacante conocido como «TheHatman» empezó a vender bases de datos de empleados presuntamente exfiltradas de los tenants de Microsoft Azure y Entra ID de varias empresas de Fortune 500, entre ellas McDonald's, Vodafone, Tata Consultancy Services y HCL Technologies. El volumen total declarado es de 3.64 millones de registros. Hudson Rock, que revisó muestras, evaluó los datos como «muy probablemente auténticos» e identificó credenciales de Azure recolectadas por infostealers y vinculadas a varias de las organizaciones nombradas circulando en mercados clandestinos. El ataque no parece explotar una vulnerabilidad de la propia Azure: usó credenciales robadas válidas para iniciar sesión como usuarios legítimos y exportar datos del directorio.
The Register informó por primera vez del incidente el 17 de agosto de 2026, y BleepingComputer y Help Net Security lo cubrieron al día siguiente. TCS ha declarado públicamente que no encontró pruebas creíbles de una brecha en sus propios sistemas; las demás empresas nombradas no habían emitido comunicados formales en el momento de la publicación.
Qué ocurrió: del infostealer al directorio de Azure
La cadena de ataque tiene dos eslabones. Primero, el malware infostealer, una categoría de software de recolección de credenciales que extrae de forma silenciosa contraseñas guardadas, cookies del navegador y tokens de sesión de los endpoints infectados, comprometió dispositivos de empleados de las empresas objetivo. Una vez activo en un endpoint, el infostealer recolecta todas las credenciales cloud que encuentra: tokens de Microsoft 365, inicios de sesión del portal de administración de Azure, cuentas de administración de Entra ID. Estas credenciales robadas se venden o se intercambian después en mercados clandestinos.
Segundo, el atacante usó esas credenciales recolectadas para autenticarse directamente en los tenants de Microsoft Azure y Entra ID de las víctimas como usuarios legítimos. Desde dentro del tenant, exportar el directorio de empleados (que Azure expone a través de su Graph API y su portal de administración a los usuarios autenticados con permisos suficientes) es una operación de baja fricción que solo deja huellas si se monitorizan los registros de auditoría adecuados. Hudson Rock señala que «identificó credenciales de Azure comprometidas vinculadas a actividad de infostealers» en varias de las empresas nombradas, lo que corrobora el vector declarado sin poder confirmar qué credencial concreta se usó en cada exportación individual.
La razón por la que esta cadena de ataque es tan eficaz es que elude por completo las defensas perimetrales. No hay exploit, ni carga maliciosa entregada a la infraestructura de Azure, ni intrusión de red en el sentido tradicional. El atacante inicia sesión con una contraseña real y un token de sesión válido (o invalidado hace poco), navega hasta el directorio y lo exporta. Desde la perspectiva de Azure, la sesión parece una acción de administrador corriente.
Quién resultó afectado y qué datos se sustrajeron
El alcance declarado es amplio. McDonald's encabeza la lista con presuntos 1.7 millones de registros, seguido de Tata Consultancy Services con aproximadamente 800,000, Vodafone con unos 425,000 y HCL Technologies con alrededor de 250,000. El resto de los 3.64 millones del total se reparte entre Gap Inc., InterContinental Hotels Group, Kyndryl, Hexaware Technologies y Wyndham Hotels.
Lo que hace que los datos sean especialmente sensibles no es solo el volumen, sino la riqueza del esquema del directorio. Las muestras revisadas por Hudson Rock incluían, según se informa, direcciones de correo corporativo, números de teléfono, direcciones físicas de oficinas, ID de empleado, cargos, organigramas departamentales que muestran quién depende de quién, pertenencias a grupos de Active Directory y detalles de cuentas de servicio. Es crucial que, según se informa, algunos registros identificaban cuentas con privilegios de Global Administrator en Entra ID. Esa última categoría es una lista de objetivos: un atacante que sabe qué cuentas tienen los roles de mayores privilegios en un tenant dispone de un mapa listo para la siguiente fase de una intrusión más amplia.
TCS presentó un comunicado ante la Bolsa de Bombay el 10 de agosto tras recibir alertas de inteligencia de amenazas, en el que afirmaba que «no ha encontrado ninguna prueba creíble de una brecha» en sus propios sistemas ni en los entornos de sus clientes. Ninguna de las otras empresas nombradas había emitido declaraciones públicas en el momento de la primera información.
Por qué importa más allá de las cifras del titular
Los directorios de empleados filtrados suelen tratarse como incidentes de menor gravedad que las brechas de datos financieros o de historiales de salud, una clasificación que subestima su valor posterior para los atacantes. Un organigrama completo con direcciones de correo y estructuras jerárquicas es la base de las campañas dirigidas de spear-phishing y de compromiso del correo empresarial (BEC). Saber que «Alice, de Finanzas, depende de Bob, el CFO» permite a un atacante urdir una suplantación muy convincente de Bob que solicite a Alice una transferencia urgente.
La inclusión de cuentas de servicio y de sus pertenencias a grupos de Entra ID eleva aún más la gravedad. Las cuentas de servicio suelen tener permisos elevados y rara vez se monitorizan tan de cerca como las cuentas humanas. Si alguna de esas cuentas de servicio usaba contraseñas que aparecen en otros volcados de infostealers, se convierten en puntos de pivote inmediatos hacia la infraestructura de producción, los pipelines de CI/CD o los almacenes de datos.
Para las organizaciones sujetas al Reglamento General de Protección de Datos de la UE, cualquier exfiltración confirmada de datos personales de empleados activa la obligación de notificar la brecha en 72 horas a la autoridad de control correspondiente, tanto si la brecha se debió a un fallo de la plataforma como si se debió a una credencial robada. El artículo 33 del RGPD no distingue entre métodos de intrusión. Las exposiciones de Vodafone e IHG, si se confirman, activarían obligaciones de notificación en varios Estados miembros de la UE.
Qué significa para los equipos de software de EE. UU. y la UE
El problema sistémico que expone este incidente es la brecha entre la seguridad del tenant cloud y la seguridad de los endpoints. Los equipos que han invertido mucho en Conditional Access de Entra ID, la detección de amenazas y una arquitectura Zero Trust pueden verse comprometidos igualmente si un infostealer se ejecuta sin ser detectado en el portátil de un desarrollador el tiempo suficiente para recolectar un token de sesión válido. Los tokens de sesión de los sistemas de identidad modernos pueden seguir siendo válidos durante horas o días, y muchos infostealers los atacan específicamente en lugar de las contraseñas, porque los tokens eluden por completo la MFA.
Los equipos de software que construyen sobre Azure están especialmente expuestos a este patrón porque los entornos de desarrollo tienden a acumular permisos amplios. Un desarrollador al que se ha concedido Directory Reader de Entra ID, o que es miembro de un grupo con permisos elevados sobre recursos de Azure, se convierte en un objetivo de gran valor para cualquier campaña de infostealers. El principio de mínimo privilegio, bien entendido en la capa de infraestructura, se incumple con frecuencia en la capa de roles de desarrollador porque genera fricción en el trabajo diario.
La conclusión práctica para los responsables de ingeniería es tratar la higiene de los endpoints como un control de seguridad cloud de primer nivel, no como un asunto de TI aparte. Las infecciones por infostealer se propagan mediante correos de phishing, extensiones de navegador maliciosas, herramientas de desarrollo troyanizadas y software pirata. Un equipo que despliega acceso de red Zero Trust pero permite a los desarrolladores instalar extensiones de navegador sin revisar tiene una brecha que los atacantes encontrarán.
Qué hacer ahora: una lista de comprobación práctica
- Audite los registros de inicio de sesión de Entra ID en busca de operaciones de exportación masiva del directorio. En el centro de administración de Microsoft Entra, vaya a Identity → Monitoring & health → Audit logs y filtre por operaciones como «Export directory», «Get users» a gran escala o llamadas a la Graph API que devolvieron conjuntos de resultados grandes. Revise al menos los últimos 90 días. Los inicios de sesión anómalos desde nuevas geografías, dispositivos desconocidos o fuera del horario laboral en esa ventana de tiempo merecen una investigación inmediata.
- Imponga MFA resistente al phishing en todas las cuentas con privilegios, en especial Global Administrators y cuentas de servicio. La autenticación solo con contraseña y la MFA por SMS son insuficientes. Exija claves de hardware FIDO2 o Microsoft Authenticator con coincidencia de números (que anula el push-bombing) para cualquier cuenta con permisos a nivel de directorio. Aplique políticas de Conditional Access que bloqueen los protocolos de autenticación heredados, que no admiten MFA en absoluto.
- Rote las credenciales de las cuentas de servicio que pudieran haber sido accesibles desde sesiones comprometidas. Si alguna cuenta humana de su tenant tuvo acceso a credenciales de cuentas de servicio, claves de API o secretos durante la ventana sospechosa, rote ahora esas credenciales. Dé prioridad a los secretos almacenados en variables de entorno, configuraciones de pipelines de CI/CD y entradas de Azure Key Vault accesibles a las cuentas en cuestión.
- Revise el alcance de los permisos de desarrollador en Entra ID. Compruebe qué cuentas de desarrollador tienen los roles Directory Reader, User Administrator o Global Administrator, y si las pertenencias a grupos otorgan acceso implícito a recursos sensibles de Azure. Aplique el mínimo privilegio: los desarrolladores que construyen sobre Azure rara vez necesitan permisos de lectura a nivel de directorio en su trabajo diario. Elimine lo que no sea necesario.
- Evalúe su exposición a infostealers en los endpoints. Revise la telemetría de EDR en busca de comportamientos de recolección de credenciales del navegador, inyección inesperada de procesos en procesos del navegador y conexiones de red a infraestructura C2 de infostealers conocida. Si no dispone de una solución EDR que cubra las estaciones de trabajo de los desarrolladores, esa carencia es ya un riesgo de seguridad cloud documentado, no solo un descuido de gestión de endpoints.
- Si le es aplicable el RGPD, evalúe las obligaciones de notificación. Según el artículo 33 del RGPD, una brecha de datos personales que afecte a registros de empleados activa una obligación de notificación en 72 horas a su autoridad de control principal si existe un riesgo para los derechos y libertades de las personas. Consulte de inmediato a su delegado de protección de datos (DPO) si su organización es una de las empresas nombradas o si una investigación interna revela una exposición de credenciales similar.
Preguntas frecuentes
¿Cómo funcionó la campaña de robo de credenciales de Azure?
El atacante usó credenciales recolectadas por malware infostealer en los endpoints infectados de empleados de las empresas objetivo. Esas credenciales dieron acceso a los tenants corporativos de Microsoft Azure y Entra ID, desde los que el atacante exportó datos del directorio de empleados. Hudson Rock identificó credenciales de Azure comprometidas vinculadas a infecciones por infostealer en varias de las empresas nombradas, lo que corrobora el vector declarado.
¿Qué empresas resultaron afectadas?
El atacante afirmó disponer de datos de McDonald's (~1.7M de registros), TCS (~800K), Vodafone (~425K), HCL Technologies (~250K), Gap Inc., IHG, Kyndryl, Hexaware Technologies y Wyndham Hotels: 3.64 millones de registros en total. TCS ha negado públicamente haber encontrado pruebas creíbles de una brecha en sus propios sistemas. Otras empresas no habían emitido comunicados formales en el momento de la primera información.
¿Qué datos se expusieron?
Las muestras revisadas por Hudson Rock incluían, según se informa, correos corporativos, números de teléfono, direcciones físicas, ID de empleado, cargos, departamentos, estructuras jerárquicas de organigramas, pertenencias a grupos de Active Directory y detalles de cuentas de servicio. Cabe destacar que algunos registros identificaban cuentas con privilegios de Global Administrator en Entra ID, lo que proporcionaría una lista de objetivos de gran valor para ataques posteriores.
¿Qué es un infostealer y cómo permite este tipo de ataque?
Un infostealer es malware que extrae de forma silenciosa credenciales guardadas, tokens de sesión y contraseñas guardadas en el navegador de los dispositivos infectados. Cuando se infecta el dispositivo de un empleado, el infostealer recolecta los tokens de Azure y Microsoft 365 y los envía al atacante. Como el inicio de sesión usa credenciales válidas, a menudo elude las defensas perimetrales. Si se captura un token de sesión válido hace poco, puede eludir la MFA por completo.
¿Significa esto que la propia Azure tiene un fallo de seguridad?
No. Los investigadores concluyeron que el ataque usó credenciales recolectadas por infostealers, no una vulnerabilidad sistémica de la plataforma Azure o Entra ID. Un fallo generalizado de la plataforma afectaría también a las pequeñas empresas sin distinción. Microsoft no ha emitido ningún aviso de seguridad que atribuya este incidente a un defecto de la plataforma. La causa raíz es el robo de credenciales a nivel de endpoint.
¿Qué deben hacer los equipos de ingeniería para proteger sus tenants de Azure?
Imponga MFA resistente al phishing (FIDO2 o Authenticator con coincidencia de números) en todas las cuentas. Audite los registros de inicio de sesión de Entra ID en busca de exportaciones masivas anómalas del directorio en los últimos 90 días. Bloquee los protocolos de autenticación heredados mediante Conditional Access. Rote las credenciales de cuentas de servicio y las claves de API cuando haya cualquier duda. Revise los permisos de los roles de desarrollador para aplicar el mínimo privilegio. Y trate la higiene frente a infostealers en los endpoints como un control de seguridad cloud de primer nivel, no como un asunto de TI aparte.
Fuentes
The Register — Crook hawks millions of records allegedly plundered from corporate Azure tenants (en inglés) (17 de agosto de 2026)
BleepingComputer — Hacker claims 3.6 million Azure account records stolen from major companies (en inglés)
Help Net Security — Hacker claims millions of records stolen from corporate Azure tenants (en inglés) (18 de agosto de 2026)
SC Media — McDonald’s employee records allegedly stolen from Azure (en inglés)