McDonald’s: Mutmaßlicher Dump mit 1,7 Millionen Azure-Datensätzen zum Verkauf

Privates Angebot macht kompromittierte Zugangsdaten für den Diebstahl verantwortlich

Am 17. August 2026 tauchte auf einem Untergrundmarktplatz für gestohlene Daten ein Angebot mit dem Titel „McDonalds 1.7M+ Azure Internal Employee Dump“ auf. Der Anbieter TheHatman behauptet, mithilfe kompromittierter Zugangsdaten rund 1,7 Millionen Datensätze aus dem Azure-Tenant von McDonald’s entwendet zu haben.

Das um 4:08 Uhr laut Forenzeit veröffentlichte Inserat nennt keinen Preis. Interessenten werden aufgefordert, private Angebote abzugeben. Außerdem wurde ein kostenloses Sample mit 8.000 Zeilen angehängt.

Der Diebstahl des gesamten angegebenen Datenvolumens ist jedoch nicht belegt. Die technische Analyse des Samples ergab zahlreiche Merkmale, die mit einem echten Export des Unternehmensverzeichnisses vereinbar sind. Weder das Alter der Daten noch die tatsächliche Größe des vollständigen Archivs lassen sich damit jedoch bestimmen.

Das Sample weist auf Entra ID hin

Die Datei verwendet eine Struktur, die mit Exporten übereinstimmt, die sich über PowerShell-Tools aus Microsoft-Entra-ID-Verzeichnissen gewinnen lassen. Der Dienst hieß früher Azure Active Directory. Zu den Feldern gehören Eigenschaften wie FacsimileTelephoneNumber und PhysicalDeliveryOfficeName, die sich nur schwer auf eine einfache Sammlung öffentlich verfügbarer Informationen zurückführen lassen.

Im Sample finden sich Adressen aus 50 E-Mail-Domains, die McDonald’s zugeordnet werden können. Die Datensätze betreffen Mitarbeiter in der Unternehmenszentrale, Restaurantmitarbeiter, Franchise-Accounts sowie Gastbenutzer von Lieferanten in mehr als 30 Ländern.

Drei Zeilen verwenden die integrierte Domain mcdonaldscorp.onmicrosoft.com. Dieses Detail ist normalerweise außerhalb der Organisation nicht sichtbar und lässt sich kaum durch das bloße Scraping öffentlicher Webseiten ermitteln.

Auch die im Datensatz enthaltenen Fehler stützen die Annahme eines Unternehmensexports:

• 233 Zeilen enthalten fehlerhafte Zeichen, etwa „Königswinter“ statt „Königswinter“ und „München“ statt „München“;
• einige ukrainische Berufsbezeichnungen wurden bei der Zeichensatzkonvertierung beschädigt;
• 85 Berufsbezeichnungen enden exakt nach 30 Zeichen – ein Verhalten, das zu einem Feld mit fester Breite aus einem HR-System passen könnte;
• ein Eintrag zum Standort „556 Upton“ im Wirral enthält eine Telefonnummer, die einem öffentlich gelisteten McDonald’s-Standort entspricht.

Die Kombination aus fehlerhafter Zeichenkodierung, regelmäßigen Abschneidungen und internen Feldern passt eher zu einem automatisierten Export als zu einem manuell zusammengestellten Datensatz.

Datenalter und Umfang von 1,7 Millionen Datensätzen lassen sich nicht bestätigen

Das Sample enthält weder Erstellungsdaten noch Angaben zum letzten Zugriff oder andere Zeitstempel. Daher ist unbekannt, wann das Verzeichnis exportiert wurde und wie aktuell die Informationen sind.

Das Fehlen russischer Datensätze passt zum Rückzug von McDonald’s aus Russland im Jahr 2022. Auch das Fehlen kasachischer Benutzer könnte darauf hindeuten, dass die Daten 2023 oder später erhoben wurden. Das bleibt jedoch eine reine Vermutung. Die Datei liefert kein überprüfbares Datum.

Dasselbe gilt für den behaupteten Umfang. Die als Sample verteilten 8.000 Zeilen entsprechen weniger als der Hälfte von einem Prozent der beworbenen 1,7 Millionen Datensätze. Die Zahl ist angesichts der Größe der Belegschaft und des globalen McDonald’s-Ökosystems plausibel, wurde jedoch nicht verifiziert. Der Verkäufer könnte sie aufgerundet haben.

Konkrete beteiligte Softwareversionen wurden nicht genannt. Der Hinweis bezieht sich auf den Azure-Tenant und das Entra-ID-Verzeichnis, nicht auf eine anhand einer CVE identifizierte Schwachstelle.

Neun Angebote mit demselben Muster

Die von TheHatman zugeschriebene Aktivität scheint Teil einer größeren Kampagne zu sein. Dasselbe Konto veröffentlichte neun Inserate innerhalb von 16 Tagen und behauptete dabei insgesamt rund 3,6 Millionen Datensätze von McDonald’s, Vodafone, Gap, zwei nicht genannten Hotelketten und vier großen IT-Outsourcing-Unternehmen anzubieten.

Zu den genannten Unternehmen gehören Kyndryl und Tata Consultancy Services. Die Angebote weisen ein gemeinsames Schema mit 19 Spalten und nahezu identischen Beschreibungen auf. Dieses Muster passt eher zur wiederholten Verwendung eines Skripts zum Export verschiedener Verzeichnisse als zu neun unabhängig erstellten Datensätzen.

Eine mögliche Erklärung wäre der Einsatz eines Infostealers, um auf Geräten gespeicherte Zugangsdaten zu sammeln und weiterzuverkaufen. Sollte eine dieser Zugangsdaten noch gültig sein, könnte der Zugriff auf das Verzeichnis ohne besonders ausgefeilten Einbruch möglich sein: In einigen Entra-ID-Tenants kann ein authentifiziertes Konto Benutzer auflisten, sofern Administratoren dies nicht ausdrücklich eingeschränkt haben.

Diese Rekonstruktion belegt jedoch weder den Einsatz eines bestimmten Infostealers noch den ursprünglichen Angriffsweg. Außerdem ist nicht bekannt, ob McDonald’s direkt kompromittiert wurde, ein Dienstleister betroffen war oder Zugangsdaten von einem Unternehmensgerät gestohlen wurden.

Das größte Risiko ist gezieltes Phishing

Das Sample enthält offenbar weder Passwörter noch Hashes. Die konkreteste Gefahr besteht daher nicht im unmittelbaren Kontozugriff, sondern in der Nutzung der Daten für gezieltes Phishing, Identitätsmissbrauch und Social Engineering.

Namen, Rollen, Standorte, direkte Telefonnummern und E-Mail-Adressformate können einen Anruf beim IT-Support oder bei der Verwaltung sehr glaubwürdig erscheinen lassen. Ein Betrüger könnte bereits wissen, welchem Restaurant oder Büro ein Mitarbeiter zugeordnet ist, und eine Passwortänderung verlangen, eine Zahlung anstoßen oder eine gefälschte Aufforderung zur Aktualisierung von Bankdaten versenden.

Das Risiko betrifft auch Franchisees, Lieferanten und Gast-Accounts. Kenntnisse über die interne Struktur können dabei helfen, überzeugendere Nachrichten zu formulieren – insbesondere wenn der Empfänger Zahlungen, Zugänge, Personal oder lokale Systeme verwaltet.

Die betroffenen Organisationen sollten die Nutzung kompromittierter Zugangsdaten prüfen, für gefährdete Konten einen Passwort-Reset erzwingen und kontrollieren, ob die Multi-Faktor-Authentifizierung tatsächlich aktiviert ist. Zusätzlich sind Analysen ungewöhnlicher Zugriffe, verdächtiger Sitzungen und möglicher Verzeichnisexporte erforderlich.

Die Möglichkeit zur Benutzeraufzählung in Entra-ID-Tenants sollte, soweit möglich, eingeschränkt werden. Außerdem sollten die Geräte betroffener Konten auf Hinweise eines Infostealers untersucht und Mitarbeiter, Franchisees sowie Lieferanten vor personalisierten Kontaktversuchen gewarnt werden.

Bei Anfragen per E-Mail oder Telefon – insbesondere zu Zugangsdaten, Zahlungen oder betrieblichen Änderungen – muss die Verifizierung über einen unabhängigen Kommunikationskanal erfolgen. Dass ein Anfragender bereits Name, Rolle und Standort des Empfängers kennt, bestätigt nicht seine Identität.