麦当劳员工数据出现在泄露中，卖家声称窃取 170 万条记录

一名卖家声称从 Azure 窃取了 170 万条麦当劳员工记录。一份 8,000 行的样本看起来是真实的，但其数据年龄和完整规模仍未得到确认。
本周，一名卖家在数据交易论坛上发布了一份 8,000 行的样本，声称这些数据来自麦当劳自己的 Azure 租户，是据称使用被窃取的凭证获得的 170 万条记录员工目录的一部分。Ransomnews 的技术分析发现，该样本在所有可运行的测试中都经得起检验，是真实的。但值得注意的是，它无法确认的是这些数据究竟有多旧，以及完整的 170 万条数字是否真实。
"该帖子是一笔直接的私下交易，于论坛时间凌晨 4:08 以 'McDonalds 1.7M+ Azure Internal Employee Dump' 为标题发布。卖家是一个名为 TheHatman 的账户，他写道，这些数据是'使用被入侵的凭证直接从 Azure Tenant 下载的'，包含'员工账户、服务账户和其他租户账户记录'。未标明价格。买家被邀请出价。"Ransomnews 发布的报告写道。
"为证明这一说法，卖家附上了一份免费的 8,000 条记录样本。该文件是以下所有分析的唯一基础。Ransomnews 对其进行了离线分析。我们未访问、探测或对任何麦当劳系统进行认证，并已从下方截图中隐去样本的下载位置，因为它仍可解析到真实人员的联系方式。"
该文件的结构在你阅读任何一行之前就暴露了它的本质。像 FacsimileTelephoneNumber 和 PhysicalDeliveryOfficeName 这样的列名不是任何人能凭空捏造的；它们是微软自己的 PowerShell 目录工具在管理员从 Entra ID（Azure Active Directory 的现代名称）导出用户列表时返回的确切属性名。生成此文件的人运行了一个标准的微软导出命令并保存了输出，仅此而已，并无更复杂之处。
样本中找到的 50 个电子邮件域名中的每一个都确实由麦当劳控制，涵盖企业员工、餐厅员工账户、特许经营商登录名以及超过 30 个国家的供应商访客访问权限。三行甚至带有租户自己的内置微软地址 mcdonaldscorp.onmicrosoft.com，这个地址从组织外部是不可见的，根本不可能被猜测或抓取。
再加上 233 行带有那种在导出时忘记指定 UTF-8 编码才会出现的乱码文本，以及 85 个恰好在中途被截断在 30 个字符处的职位名称——这是固定宽度 HR 系统字段渗入目录的明显特征——你得到的画面与真实导出相符，而不是从公开来源拼凑而成的东西。
"该文件的损坏方式与真实导出的损坏方式一致。233 行包含乱码字符：Königswinter 显示为 'Königswinter'，München 显示为 'München'，乌克兰语职位名称则被渲染为用错误字符集处理过的不可读西里尔字符串。这就是有人在未指定 UTF-8 编码的情况下运行 Export-Csv 时所发生的情况。"报告继续写道。"这是一个错误，而且不是任何人会故意犯的那种错误。伪造的数据集不会带有真实的编码损坏。"
一个细节实际上完全超出了文件本身。一个位于 Wirral 的 Upton By-Pass "556 Upton" 的餐厅条目，连同电话号码，与一个真实的、公开列出的麦当劳门店精确匹配到每一位数字。这是一个小小的锚点，但却是伪造数据通常无法经受住检验的那种锚点。
样本真正无法确定的是时间。整个模式中没有单一的日期字段，没有创建日期，没有最后登录，没有任何可以判断一行数据年龄的信息。"我们可以有把握地说，这些数据来自麦当劳的目录。但我们无法仅凭文件判断它是什么时候导出的。"可用的最佳线索是麦当劳自身的市场足迹：完全没有俄罗斯的记录，这与该公司 2022 年的退出相符；也没有哈萨克斯坦的记录，这指向 2023 年或更晚的某个时间——这是一个宽泛的时间窗口，而非确切的日期。
170 万这个头条数字也不是 8,000 行所能验证的。该样本不到该声称数字的 0.5%，虽然鉴于麦当劳的全球员工规模，其中没有任何内容看起来不可信，但"看似合理"并不等同于"已确认"。一个在多家公司进行批量交易的卖家，有充分的动机在帖子标题中把数字往上取整。
这次麦当劳的帖子也并非孤立事件。同一个账户（以 TheHatman 之名）在 16 天内共发布了九个帖子，声称在麦当劳、Vodafone、Gap、两家酒店连锁以及包括 Kyndryl 和 Tata Consultancy Services 在内的四家大型 IT 外包公司之间合计窃取了约 360 万条记录。
每个帖子都使用完全相同的 19 列模式以及几乎相同的措辞——这种一致性来自同一个人对当前拥有有效登录凭据的租户运行相同的导出脚本，而非来自有人手工伪造九个独立数据集。
这种模式指向相当平凡且相当普遍的情况：信息窃取恶意软件大规模收集已保存的凭证，为转售市场提供支持，使一个操作者能够利用没人费心用多因素认证保护的登录凭据，一个接一个地进入租户。读取整个公司目录并不需要复杂的入侵；它只需要一个在未限制用户枚举的租户中的有效账户——这是 Entra ID 的默认设置，除非管理员明确将其锁定。
对于麦当劳或其他八家被列出公司的任何人来说，这里的真正风险不是账户接管，因为样本中完全没有密码或哈希。真正的风险是社会工程：全名、职位、直拨电话号码和内部电子邮件格式，足以让一个虚假的客服电话或欺诈性发票听起来完全合法。对那种已经知道你的职位和位置的主动联系，要比平时更加警惕，因为这正是该文件被设计来提供给某人的那种细节。
"对于数据中被点名的人来说，没有任何行动可以消除这种暴露。"报告总结道。"现实的应对方式是对那些已经知道你的职位和门店的主动联系保持怀疑，并拒绝在未经带外确认的情况下，仅凭电话或电子邮件中的指示采取行动。"