Un actor de amenazas bajo el alias "888" ha publicado en un foro de cibercrimen que está vendiendo datos presuntamente robados a Accenture. El botín consistiría en aproximadamente 35 GB de código fuente y credenciales asociadas, según una publicación fechada el 6 de julio de 2026.

Un actor de amenazas que opera bajo el alias "888" ha publicado un anuncio en un foro de cibercrimen afirmando vender datos presuntamente robados del gigante de servicios de TI y consultoría Accenture, con un botín declarado que suma aproximadamente 35 GB de código fuente y credenciales asociadas.

La publicación del foro, con fecha del 6 de julio de 2026, afirma que "en julio de 2026, Accenture sufrió una brecha de datos que resultó en el robo de poco más de 35 GB de códigos fuente de la compañía". Según el actor, el material comprometido abarca código fuente, claves RSA, claves SSH, Tokens de Acceso Personal (PAT) de Azure, Claves de Acceso al Almacenamiento de Azure y archivos de configuración.

Este no es el primer intento presunto del actor contra Accenture; según se informa, "888" ya había atacado a la empresa en un incidente previo y no verificado en 2024, el cual Accenture disputó públicamente.

Para dar credibilidad a la afirmación, el actor publicó una captura de pantalla de muestra que muestra la salida de la línea de comandos vinculada a Azure DevOps, incluyendo lo que parece ser una solicitud curl contra un endpoint de "dev.azure.com" y una operación posterior de git clone.

La salida capturada hace referencia a un repositorio llamado "121123_AtriasTalentAcademy", descrito como alojado bajo una URL de producción de accenture.com (redactada), con metadatos del proyecto asociados, indicadores de visibilidad y URLs remotas para Azure Repos.

La muestra también muestra un clonado de git parcial en curso, recibiendo varios miles de objetos a decenas de megabytes por segundo, lo que el actor presenta como prueba de acceso en vivo a un repositorio privado.

El anuncio se presenta como una "Venta Única", y el actor indica que el pago se aceptará exclusivamente en Monero (XMR), una criptomoneda centrada en la privacidad y preferida en los foros de cibercrimen para ocultar el rastro de las transacciones. Hasta ahora, no se ha revelado públicamente ningún precio en los informes.

Accenture ha confirmado una brecha, pero no ha verificado el alcance ni los tipos específicos de datos reclamados por el actor de amenazas. La empresa dijo a BleepingComputer: "Somos conscientes de este asunto aislado y hemos remediado su origen. No hay impacto en las operaciones y la prestación de servicios de Accenture".

Se recomienda a los equipos de seguridad tratar los tipos de datos específicos y el volumen como no confirmados hasta que la evidencia forense o la filtración de una muestra de datos proporcione una corroboración más sólida.

A las organizaciones que utilizan Azure DevOps se les anima, no obstante, a revisar las políticas de rotación de PAT y a auditar los registros de acceso al repositorio como precaución, dados los tipos de credenciales referenciados en la supuesta muestra.