McDonald’s, in vendita un presunto dump da 1,7 milioni di record Azure

Un’offerta privata attribuisce il furto a credenziali compromesse

Il 17 agosto 2026 è emersa un’offerta sul mercato clandestino dei dati con il titolo “McDonalds 1.7M+ Azure Internal Employee Dump”. L’autore, identificato come TheHatman, sostiene di avere sottratto circa 1,7 milioni di record dal tenant Azure di McDonald’s usando credenziali compromesse.

L’inserzione, pubblicata alle 4:08 AM secondo l’orario del forum, non indica un prezzo. Il venditore invita gli interessati a presentare offerte private e ha allegato un campione gratuito di 8.000 righe.

La sottrazione dell’intero volume dichiarato non è però dimostrata. L’analisi tecnica del campione ha rilevato numerosi elementi compatibili con un’esportazione reale della directory aziendale, ma non consente di stabilire né l’età dei dati né la dimensione effettiva dell’archivio completo.

Il campione presenta tracce compatibili con Entra ID

Il file utilizza una struttura coerente con le esportazioni ottenibili tramite strumenti PowerShell per le directory Microsoft Entra ID, il servizio precedentemente denominato Azure Active Directory. Tra i campi figurano proprietà come FacsimileTelephoneNumber e PhysicalDeliveryOfficeName, difficili da ricondurre a una semplice raccolta di informazioni pubbliche.

Nel campione compaiono indirizzi appartenenti a 50 domini email riconducibili a McDonald’s. I record riguardano personale corporate, dipendenti dei ristoranti, account di franchisee e utenti guest associati a fornitori in oltre 30 Paesi.

Tre righe utilizzano il dominio integrato mcdonaldscorp.onmicrosoft.com. Si tratta di un dettaglio normalmente non esposto all’esterno dell’organizzazione e non facilmente ottenibile attraverso il semplice scraping di pagine pubbliche.

Anche gli errori presenti nel file rafforzano l’ipotesi di un’esportazione aziendale:

• 233 righe mostrano caratteri corrotti, come “Königswinter” al posto di “Königswinter” e “München” al posto di “München”;
• alcuni titoli professionali in ucraino risultano danneggiati dalla conversione del set di caratteri;
• 85 titoli terminano esattamente dopo 30 caratteri, un comportamento compatibile con un campo a larghezza fissa proveniente da un sistema HR;
• una voce associata alla sede “556 Upton”, nel Wirral, contiene un numero telefonico corrispondente a una sede McDonald’s pubblicamente elencata.

La combinazione di encoding errato, troncamenti regolari e campi interni è più coerente con una procedura automatizzata di esportazione che con un dataset assemblato manualmente.

Non è possibile datare i dati né confermare 1,7 milioni di record

Il campione non contiene date di creazione, ultimo accesso o altri indicatori temporali. Per questo non è noto quando la directory sia stata esportata né quanto siano aggiornate le informazioni.

L’assenza di record russi è compatibile con l’uscita di McDonald’s dalla Russia nel 2022. Anche l’assenza di utenti kazaki potrebbe indicare che i dati sono stati raccolti nel 2023 o successivamente, ma questa rimane soltanto un’ipotesi. Il file non offre una data verificabile.

Lo stesso vale per il volume dichiarato. Le 8.000 righe distribuite come campione rappresentano meno della metà dell’1% dei 1,7 milioni di record reclamizzati. La cifra è plausibile rispetto alle dimensioni della forza lavoro e dell’ecosistema globale di McDonald’s, ma non è stata verificata. Il venditore potrebbe avere arrotondato il numero per eccesso.

Non sono state rese note versioni software specifiche coinvolte. Il riferimento riguarda il tenant Azure e la directory Entra ID, non una falla identificata da un codice CVE.

Nove offerte riconducibili allo stesso schema

L’operazione attribuita a TheHatman sembra inserirsi in una campagna più ampia. Lo stesso account ha pubblicato nove inserzioni nell’arco di 16 giorni, rivendicando complessivamente circa 3,6 milioni di record appartenenti a McDonald’s, Vodafone, Gap, due catene alberghiere non nominate e quattro grandi società di outsourcing IT.

Tra le aziende citate figurano Kyndryl e Tata Consultancy Services. Le offerte condividono uno schema composto da 19 colonne e descrizioni quasi identiche. Questo modello è compatibile con l’uso ripetuto di uno script per esportare directory differenti, più che con nove dataset prodotti separatamente.

Una possibile spiegazione è l’impiego di un malware infostealer per raccogliere credenziali salvate sui dispositivi e rivenderle. Se una di quelle credenziali fosse ancora valida, l’accesso alla directory potrebbe non richiedere un’intrusione particolarmente sofisticata: in alcuni tenant Entra ID, un account autenticato può enumerare gli utenti salvo restrizioni applicate esplicitamente dagli amministratori.

Questa ricostruzione non dimostra tuttavia l’uso di uno specifico infostealer, né identifica il percorso iniziale seguito dall’attaccante. Non è inoltre noto se McDonald’s abbia subito un accesso diretto, una compromissione di un fornitore o il furto delle credenziali da un dispositivo aziendale.

Il rischio principale è il phishing mirato

Nel campione non risultano password né hash. Il pericolo più concreto non sembra quindi l’accesso immediato agli account, ma l’uso dei dati per campagne di phishing mirato, impersonificazione e ingegneria sociale.

Nomi, ruoli, sedi, numeri diretti e formati degli indirizzi email possono rendere molto credibile una telefonata al supporto IT o all’amministrazione. Un truffatore potrebbe conoscere già il ristorante o l’ufficio di riferimento del dipendente, chiedere un cambio password, sollecitare un pagamento o presentare una falsa richiesta di aggiornamento bancario.

Il rischio riguarda anche franchisee, fornitori e account guest. La conoscenza della struttura interna può aiutare a costruire messaggi più convincenti, soprattutto quando il destinatario gestisce pagamenti, accessi, personale o sistemi locali.

Le organizzazioni coinvolte dovrebbero verificare l’uso di credenziali compromesse, imporre il reset degli account a rischio e controllare che l’autenticazione multifattore sia effettivamente applicata. Sono inoltre necessarie analisi di accessi anomali, sessioni sospette ed eventuali esportazioni della directory.

Vanno limitate, ove possibile, le attività di enumerazione degli utenti nei tenant Entra ID. È opportuno anche cercare segnali di infostealer sui dispositivi degli account interessati e avvisare dipendenti, franchisee e fornitori dei tentativi di contatto personalizzati.

Per richieste ricevute via email o telefono, soprattutto se riguardano credenziali, pagamenti o modifiche operative, la verifica deve avvenire attraverso un canale indipendente. Conoscere già nome, ruolo e sede del destinatario non dimostra l’identità del richiedente.