McDonald’s : un prétendu dump de 1,7 million d’enregistrements Azure mis en vente

Une offre privée attribue le vol à des identifiants compromis

Le 17 août 2026, une offre est apparue sur un marché clandestin de données sous le titre « McDonalds 1.7M+ Azure Internal Employee Dump ». Son auteur, identifié sous le pseudonyme TheHatman, affirme avoir dérobé environ 1,7 million d’enregistrements du tenant Azure de McDonald’s à l’aide d’identifiants compromis.

L’annonce, publiée à 4 h 08 selon l’heure affichée sur le forum, n’indique aucun prix. Le vendeur invite les intéressés à soumettre des offres privées et a joint un échantillon gratuit de 8 000 lignes.

Le vol de l’intégralité du volume annoncé n’est toutefois pas établi. L’analyse technique de l’échantillon a révélé de nombreux éléments compatibles avec une exportation réelle de l’annuaire de l’entreprise, mais ne permet de déterminer ni l’ancienneté des données ni la taille effective de l’archive complète.

L’échantillon présente des traces compatibles avec Entra ID

Le fichier utilise une structure cohérente avec les exportations obtenues au moyen d’outils PowerShell pour les annuaires Microsoft Entra ID, le service auparavant appelé Azure Active Directory. Parmi les champs figurent notamment les propriétés FacsimileTelephoneNumber et PhysicalDeliveryOfficeName, difficiles à expliquer par une simple collecte d’informations publiques.

L’échantillon contient des adresses appartenant à 50 domaines de messagerie liés à McDonald’s. Les enregistrements concernent des collaborateurs du siège, des employés de restaurants, des comptes de franchisés ainsi que des utilisateurs invités associés à des fournisseurs dans plus de 30 pays.

Trois lignes utilisent le domaine intégré mcdonaldscorp.onmicrosoft.com. Il s’agit d’un détail normalement invisible depuis l’extérieur de l’organisation et difficile à obtenir par le simple scraping de pages publiques.

Les erreurs présentes dans le fichier renforcent également l’hypothèse d’une exportation interne :

• 233 lignes affichent des caractères corrompus, comme « Königswinter » au lieu de « Königswinter » et « München » au lieu de « München » ;
• certains intitulés de poste en ukrainien sont altérés à la suite de la conversion du jeu de caractères ;
• 85 intitulés s’arrêtent exactement après 30 caractères, un comportement compatible avec un champ de longueur fixe provenant d’un système RH ;
• une entrée associée au site « 556 Upton », dans le Wirral, contient un numéro de téléphone correspondant à un restaurant McDonald’s répertorié publiquement.

La combinaison d’un encodage incorrect, de troncatures régulières et de champs internes correspond davantage à une procédure automatisée d’exportation qu’à un jeu de données assemblé manuellement.

Impossible de dater les données ou de confirmer les 1,7 million d’enregistrements

L’échantillon ne contient ni date de création, ni date de dernière connexion, ni autre indicateur temporel. On ignore donc quand l’annuaire a été exporté et dans quelle mesure les informations sont à jour.

L’absence d’enregistrements russes est compatible avec le retrait de McDonald’s de Russie en 2022. L’absence d’utilisateurs kazakhs pourrait également indiquer que les données ont été collectées en 2023 ou après, mais il ne s’agit que d’une hypothèse. Le fichier ne fournit aucune date vérifiable.

Il en va de même pour le volume annoncé. Les 8 000 lignes distribuées en guise d’échantillon représentent moins de la moitié de 1 % des 1,7 million d’enregistrements revendiqués. Ce chiffre est plausible au regard de la taille des effectifs et de l’écosystème mondial de McDonald’s, mais il n’a pas été vérifié. Le vendeur pourrait avoir arrondi le nombre à la hausse.

Aucune version logicielle précise n’a été indiquée. La référence concerne le tenant Azure et l’annuaire Entra ID, et non une vulnérabilité identifiée par un code CVE.

Neuf offres semblent relever du même schéma

L’opération attribuée à TheHatman semble s’inscrire dans une campagne plus vaste. Le même compte a publié neuf annonces en l’espace de 16 jours, revendiquant au total environ 3,6 millions d’enregistrements appartenant à McDonald’s, Vodafone, Gap, deux chaînes hôtelières non nommées et quatre grandes sociétés d’externalisation informatique.

Parmi les entreprises citées figurent Kyndryl et Tata Consultancy Services. Les offres reposent sur une structure commune de 19 colonnes et des descriptions presque identiques. Ce modèle est compatible avec l’utilisation répétée d’un script pour exporter différents annuaires, plutôt qu’avec neuf jeux de données produits séparément.

Une explication possible serait l’utilisation d’un malware de type infostealer pour récupérer des identifiants enregistrés sur les appareils, puis les revendre. Si l’un de ces identifiants était encore valide, l’accès à l’annuaire pourrait ne pas nécessiter d’intrusion particulièrement sophistiquée : dans certains tenants Entra ID, un compte authentifié peut énumérer les utilisateurs, sauf si les administrateurs ont explicitement appliqué des restrictions.

Cette reconstitution ne prouve toutefois pas l’utilisation d’un infostealer précis et n’identifie pas le vecteur d’accès initial de l’attaquant. On ignore également si McDonald’s a subi un accès direct, une compromission de fournisseur ou un vol d’identifiants depuis un appareil professionnel.

Le principal risque est le phishing ciblé

L’échantillon ne contient ni mots de passe ni empreintes de mots de passe. Le danger le plus concret ne semble donc pas être un accès immédiat aux comptes, mais l’exploitation des données dans le cadre de campagnes de phishing ciblé, d’usurpation d’identité et d’ingénierie sociale.

Les noms, fonctions, sites, numéros directs et formats d’adresses e-mail peuvent rendre très crédible un appel au support informatique ou à l’administration. Un fraudeur pourrait déjà connaître le restaurant ou le bureau de rattachement du salarié, demander une réinitialisation de mot de passe, solliciter un paiement ou envoyer une fausse demande de mise à jour bancaire.

Le risque concerne également les franchisés, les fournisseurs et les comptes invités. La connaissance de l’organisation interne peut contribuer à élaborer des messages plus convaincants, notamment lorsque le destinataire gère les paiements, les accès, le personnel ou les systèmes locaux.

Les organisations concernées devraient vérifier l’utilisation d’identifiants compromis, imposer la réinitialisation des comptes à risque et contrôler que l’authentification multifacteur est bien appliquée. Des analyses des accès anormaux, des sessions suspectes et d’éventuelles exportations de l’annuaire sont également nécessaires.

Les activités d’énumération des utilisateurs dans les tenants Entra ID doivent être limitées lorsque cela est possible. Il convient aussi de rechercher des signes d’infostealer sur les appareils des comptes concernés et d’alerter les employés, franchisés et fournisseurs quant aux tentatives de contact personnalisées.

Pour toute demande reçue par e-mail ou par téléphone, en particulier lorsqu’elle concerne des identifiants, des paiements ou des changements opérationnels, la vérification doit passer par un canal indépendant. Le fait de connaître le nom, la fonction et le site du destinataire ne suffit pas à prouver l’identité du demandeur.