McDonald's: 1,7 Mio. Mitarbeiter-Daten auf Schwarzmarkt angeboten

Ein mutmaßlicher Datendiebstahl bei der Fast-Food-Kette McDonald's sorgt für Aufsehen: In einem Forum für den Handel mit gestohlenen Daten werden aktuell 1,7 Millionen Datensätze mit Informationen über Mitarbeiter des Unternehmens angeboten.

Geklaut aus Azure-Umgebung

Der Verkäufer untermauert seine Offerte dabei mit einem Sample, das rund 8000 Einträge beinhaltet. Die Daten selbst sollen aus dem Microsoft-Azure-Umfeld des Fast-Food-Konzerns stammen, wie aus einem Ransomnews-Bericht hervorgeht. Nach einer technischen Analyse spricht vieles dafür, dass die Daten tatsächlich aus dem Unternehmensverzeichnis von McDonald's exportiert wurden. Unklar bleibt allerdings, wie aktuell sie sind und ob die vom Verkäufer behauptete Gesamtmenge von 1,7 Millionen Datensätzen tatsächlich existiert.

Der Anbieter mit dem Pseudonym "TheHatman" bot die Daten als Teil eines privaten Verkaufs an. Nach seinen Angaben wurden sie mithilfe kompromittierter Zugangsdaten direkt aus dem Azure-Tenant von McDonald's heruntergeladen. Der kostenlose Datenausschnitt enthält Informationen zu Mitarbeitern, Dienstkonten und weiteren Benutzerkonten. Passwörter oder Passwort-Hashes sind dagegen nicht enthalten.


Für die Echtheit des Materials sprechen mehrere technische Merkmale. Die Datei verwendet unter anderem Spaltenbezeichnungen, wie sie Microsofts Verzeichniswerkzeuge beim Export aus Entra ID, dem früheren Azure Active Directory, erzeugen. Zudem stammen alle 50 im Datensatz gefundenen E-Mail-Domains aus dem Umfeld von McDonald's. Darunter befinden sich auch drei Adressen mit der unternehmenseigenen Microsoft-Domain mcdonaldscorp.onmicrosoft.com, die von außen nicht ohne Weiteres ermittelt werden kann.

Auch Fehler in den Daten sprechen eher für einen echten Export als für eine Fälschung. In 233 Datensätzen sind Zeichen durch eine falsche Textkodierung beschädigt. So wird beispielsweise "Königswinter" als "Königswinter" dargestellt. Bei 85 Berufsbezeichnungen bricht der Text zudem exakt nach 30 Zeichen ab, ein Hinweis auf eine technische Begrenzung eines zugrunde liegenden Systems.

Auch andere Firmen betroffen

Ein weiterer Abgleich bestätigt einzelne Angaben: Eine im Datensatz enthaltene McDonald's-Filiale im britischen Wirral stimmt einschließlich Telefonnummer mit einem öffentlich bekannten Standort überein. Offen ist dagegen, wann die Daten exportiert wurden. Der Datensatz enthält keine Zeitstempel, anhand derer sich sein Alter bestimmen ließe.

Der Fall könnte zudem Teil einer größeren Aktion sein. Das Konto veröffentlichte innerhalb von 16 Tagen neun Angebote mit insgesamt rund 3,6 Millionen Datensätzen. Betroffen sein sollen neben McDonald's unter anderem Vodafone, Gap sowie mehrere Hotel- und IT-Unternehmen. Die einheitliche Struktur der Angebote deutet darauf hin, dass möglicherweise immer wieder dieselbe Methode eingesetzt wurde.

Als wahrscheinlichstes Szenario gilt daher der massenhafte Diebstahl von Zugangsdaten, etwa durch Infostealer-Schadsoftware. Für die Betroffenen besteht das größte Risiko weniger in einer unmittelbaren Kontoübernahme als in gezieltem Social Engineering. Namen, Positionen, Telefonnummern und interne E-Mail-Strukturen könnten genutzt werden, um glaubwürdige Betrugsanrufe oder Phishing-Nachrichten zu erstellen. Betroffene sollten deshalb besonders misstrauisch gegenüber Kontaktaufnahmen sein, die bereits genaue Angaben zu ihrer Person, Funktion oder ihrem Arbeitsplatz enthalten.


Siehe auch: