El directorio tiene más fichas que empleados

McDonald's declara más de 150.000 empleados en su informe anual. El lote de su directorio corporativo que un vendedor puso en circulación esta semana tiene 1,7 millones de fichas. Once por empleado.

El 16 de agosto, Hudson Rock publicó el desglose de un lote que alguien con el alias «TheHatman» ofrece en foros: directorios de empleados sacados —según afirma— de inquilinos de Azure y Entra con credenciales robadas. Nueve organizaciones, de McDonald's a Wyndham. Conviene decir tres cosas antes de seguir. Una: no hay indicio de que Azure fallara; lo que falló fueron contraseñas de gente, y los investigadores encontraron credenciales de Azure procedentes de infecciones de infostealer asociadas a la mayoría de las empresas de la lista. Dos: las cifras las afirma un vendedor y no las ha confirmado ninguna de las empresas afectadas. Y tres: nosotros administramos inquilinos de Microsoft 365 para nuestros clientes, así que esto es literalmente nuestro oficio y lo que sigue se lee con la ceja levantada.

Dicho eso, la lista tiene una columna que nadie ha puesto al lado: cuánta gente trabaja de verdad en esas empresas. Esa columna sale de informes anuales públicos, y cuando se juntan las dos aparece algo que no es la noticia y que sí nos afecta a todos los que administramos un inquilino.

Las dos columnas

Faltan dos de la lista, Hexaware y Wyndham, porque no hemos localizado su plantilla en una fuente que nos parezca firme y preferimos dejar el hueco antes que rellenarlo. Y falta un matiz importante: ficha no es persona. Un volcado de directorio arrastra contactos externos, buzones compartidos, salas de reuniones, cuentas de servicio y duplicados de migraciones viejas. Ese matiz no arregla el número: lo empeora. Si un tercio de los 1,7 millones de fichas no fuera gente, seguirían sobrando siete por empleado.

El número no mide descuido: mide el modelo de negocio

Léase la tabla de abajo arriba. Gap, HCLTech y TCS están pegadas al 1: casi todo el que trabaja allí tiene una cuenta y poco más se cuela dentro. En Gap la cifra prácticamente coincide, lo cual ya dice algo, porque el 84 % de su plantilla trabaja en tienda. Arriba del todo, dos organizaciones que no gestionan personal: gestionan marcas. El 95 % de los restaurantes de McDonald's eran de franquiciados a cierre de 2025, e IHG cuenta 7.459 personas en oficinas corporativas, centrales de reservas y hoteles propios o arrendados, más 20.390 que trabajan por cuenta del System Fund o como directores y personal de hoteles gestionados; el resto de la gente de esos hoteles no sale en su nómina.

Y hay un número que conviene poner encima de la mesa aunque desinfle el titular, porque está en el mismo apartado del mismo informe del que salen los 150.000. McDonald's escribe también que «los más de dos millones de personas que trabajan en los restaurantes franquiciados de McDonald's en todo el mundo son fundamentales para el éxito de la compañía». Con ese segundo denominador, 1,7 millones de fichas no llegan a una por cabeza. Ninguno de los dos números es el bueno, y esa es justamente la cuestión: el directorio no se parece a la nómina ni al sistema entero, se queda en tierra de nadie, y nadie sabe decir a qué corresponde.

Aquí es donde la explicación deja de ser redonda, y preferimos decirlo a que lo diga otro: Vodafone sale a 4,9 y no es una franquicia hotelera ni una cadena de restaurantes. Kyndryl, a 2,4, tampoco. Se nos ocurren motivos —adquisiciones sin consolidar, distribuidores con acceso, contratistas, filiales que se vendieron y siguen en el inquilino— pero no tenemos ninguno comprobado, así que lo dejamos abierto. Lo que sí aguanta las siete filas es lo otro, y es lo que importa:

Y lo mismo pasa a escala pequeña. Una empresa de cuarenta personas tiene en su directorio a la gestoría, al informático de antes, a dos comerciales que se fueron hace años y siguen deshabilitados «por si acaso», el buzón de un departamento que ya no existe, la cuenta con la que se configuró la multifunción y tres invitados de un proyecto que acabó. No son 1,7 millones. Son sesenta fichas para cuarenta nóminas, y nadie las ha contado nunca.

Qué se lleva quien entra con una cuenta cualquiera

Aquí está la parte que casi nadie ha mirado y que está publicada, sin secreto ninguno, en la documentación de Microsoft. Los permisos por defecto de un usuario miembro —el becario, el comercial, el de almacén— incluyen esta frase: «también pueden leer toda la información del directorio (con algunas excepciones)». La tabla oficial lo desglosa, y merece leerse despacio:

• Enumerar la lista de todos los usuarios y contactos y leer todas sus propiedades públicas.
• Enumerar todos los grupos, leer todas sus propiedades y la pertenencia no oculta.
• Enumerar todos los dispositivos y leer todas sus propiedades.
• Leer todas las suscripciones de licencias y toda la información de la compañía y sus dominios.
• Leer todos los roles administrativos y sus miembros.

El último es el que cambia la conversación. Con la contraseña de cualquier persona de la empresa —no de un administrador: de cualquiera— se obtiene la lista de quién es administrador global. La cobertura de esta filtración menciona precisamente eso entre los campos del lote, junto a nombre, correo, teléfono, dirección, identificador de empleado, puesto, departamento y jefe directo. No hace falta escalar privilegios para saber a quién hay que atacar después: viene incluido.

Una precisión honesta, porque es la que nos harían a nosotros: algunas de esas lecturas por Graph exigen además que la aplicación que llama tenga concedido el permiso delegado correspondiente, del tipo Directory.Read.All. Es un requisito real y conviene decirlo. Pero no es una barrera de rol: el usuario ya tiene el derecho, y el consentimiento de aplicaciones es justo el terreno donde un token puede quedarse trabajando sin volver a pedir el segundo factor.

El interruptor existe y el fabricante desaconseja tocarlo

Sí que hay una palanca para cerrar la lectura del directorio a los no administradores. Se llama Read other users, no está en ninguna pantalla del portal —«disponible solo en Microsoft Graph y PowerShell», dice la documentación— y se cambia poniendo a falso la propiedad AllowedToReadOtherUsers de la authorizationPolicy. Y a continuación Microsoft escribe dos frases que casi nadie cita: que puede impedir la lectura de información de usuarios en otros servicios como Teams, y que «está pensada para circunstancias especiales, así que ponerla a falso no es recomendable».

Mientras tanto, el ajuste que mucha gente sí tiene activado es otro: «Restringir el acceso al centro de administración de Microsoft Entra». La misma página lo describe con una franqueza que se agradece y que casi nadie ha leído: no es una medida de seguridad, añade «una capa de fricción» al curioseo casual, y no bloquea el acceso programático por PowerShell, la API de Microsoft Graph u otras herramientas. Cierra la puerta de la sala de reuniones y deja la ventana abierta, y lo dice el propio fabricante en negrita. Para bloquear de verdad el portal, la propia documentación remite a una política de acceso condicional sobre la API de gestión de servicios de Azure —que sigue sin ser lo mismo que cerrar Graph.

Contar antes de opinar

Si el directorio es legible y la palanca para cerrarlo está desaconsejada, lo que queda es trabajar sobre lo que hay dentro y sobre cuántas llaves lo abren. Y para eso el primer paso es aburrido: contar. Con el módulo de Microsoft Graph para PowerShell son cuatro líneas y cinco minutos.

Connect-MgGraph -Scopes "User.Read.All","OrgContact.Read.All"

Get-MgUser -Top 1 -ConsistencyLevel eventual -CountVariable total > $null; $total
Get-MgUser -Top 1 -Filter "userType eq 'Guest'"     -ConsistencyLevel eventual -CountVariable inv > $null; $inv
Get-MgUser -Top 1 -Filter "accountEnabled eq false" -ConsistencyLevel eventual -CountVariable off > $null; $off
Get-MgContact -Top 1 -ConsistencyLevel eventual -CountVariable ext > $null; $ext

El primer número ya incluye a los invitados y a las cuentas deshabilitadas, así que no se suman: los otros tres se restan de él para saber qué hay debajo. Y ese primero es el que hay que llevar a la reunión, al lado del de nóminas. La diferencia no es un fallo: es el inventario que nunca se hizo. A partir de ahí, lo que miramos nosotros cuando entramos en un inquilino ajeno:

• Qué atributos se rellenan. El móvil personal y la dirección postal de casa son legibles por toda la plantilla si están puestos. Si el alta los rellena por costumbre, eso es una decisión, no un accidente.
• Los invitados. Por defecto un invitado ve menos que un miembro, pero hay inquilinos con la opción puesta en «los invitados tienen el mismo acceso que los miembros». Merece una mirada antes que cualquier otra cosa.
• Las cuentas que no son personas. Cuentas de servicio con nombre de persona, buzones compartidos y credenciales de integraciones antiguas. Suelen ser las que no tienen segundo factor porque «rompería el proceso».
• El equipo, no solo la cuenta. En esta campaña las credenciales salieron de infecciones de ladrones de información en puestos de trabajo. El directorio se leyó desde una sesión legítima; el robo ocurrió antes y en otro sitio.

Lo que no vamos a recomendar

No vamos a proponer poner AllowedToReadOtherUsers a falso en un inquilino normal. El fabricante lo desaconseja por escrito, se rompe la búsqueda de personas en Teams y en la libreta de direcciones, y lo que se gana es poco: quien tenga una credencial válida y quiera el organigrama va a encontrarlo. Tampoco vamos a proponer una purga de cuentas por deporte: dar de baja bien es más lento y más delicado de lo que parece, y ya escribimos sobre lo que se queda dentro cuando alguien se va.

Y una advertencia contra la promesa fácil: cerrar el directorio no detiene el fraude dirigido. Media plantilla tiene su puesto y su jefe publicados en una red profesional. Lo que un volcado añade no es el organigrama, es la precisión: el correo interno exacto, el móvil, el identificador de empleado, el nombre del inquilino en onmicrosoft.com y quién manda de verdad. Con eso, la llamada del falso servicio técnico deja de sonar a llamada fría. Si alguien vende «auditoría de exposición del directorio» prometiendo que eso se acaba, está vendiendo humo.

Queda el número del principio. Once fichas por cada empleado de compañía en una empresa que sabe perfectamente cuántos restaurantes tiene y quién los lleva. Nosotros no tenemos clientes con 1,7 millones de cuentas, pero sí tenemos la misma pregunta sin responder en casi todos los inquilinos que heredamos, y es la misma que hacemos cuando alguien nos enseña dónde vive de verdad su informática: ¿cuántas fichas hay ahí dentro, y a cuántas de ellas les pagamos algo a final de mes?

Fuentes (verificadas el 18 de agosto de 2026): el desglose por organización del lote ofrecido con el alias «TheHatman», los campos que contiene (nombre completo, correos corporativos y de onmicrosoft.com, teléfonos, direcciones, identificadores de empleado, puestos, departamentos, jerarquía, cuentas de servicio), la valoración de las muestras como creíbles, que las credenciales de Azure encontradas proceden de infecciones de ladrones de información en la mayoría de las empresas afectadas y que no hay indicio de compromiso de la plataforma Azure, del análisis de Hudson Rock (16 de agosto de 2026) y de la cobertura de Cybersecurity News, que menciona expresamente los listados de cuentas de administrador global. Las cantidades del lote se dan en origen como aproximadas y como mínimos («~1.700.000+»), y así las tratamos. Los permisos por defecto de los usuarios miembro, las citas «también pueden leer toda la información del directorio (con algunas excepciones)», «disponible solo en Microsoft Graph y PowerShell», «está pensada para circunstancias especiales, así que ponerla a falso no es recomendable», «no es una medida de seguridad» y «no bloquea el acceso programático», y la remisión al acceso condicional sobre la API de gestión de servicios de Azure, de la página de permisos de usuario predeterminados de Microsoft Entra (Microsoft Learn, actualizada el 18 de junio de 2026). Plantillas: McDonald's, más de 150.000 empleados de compañía a cierre de 2025 y 95 % de restaurantes franquiciados, de su formulario 10-K; IHG, promedio de 7.459 personas en oficinas corporativas, centrales de reservas y hoteles propios o arrendados más 20.390 por cuenta del System Fund o como directores y personal de hoteles gestionados, de su informe anual 2025; Vodafone, promedio de 87.205 empleados en el ejercicio cerrado el 31 de marzo de 2025, de su informe anual; TCS, 584.519 a 31 de marzo de 2026; HCLTech, 227.181 en marzo de 2026; Kyndryl, unos 72.000 a 31 de marzo de 2026, de su formulario 10-K; Gap, unos 79.000 a 31 de enero de 2026 —con el 84 % de la plantilla en tienda—, de su formulario 10-K. La frase «los más de dos millones de personas que trabajan en los restaurantes franquiciados de McDonald's en todo el mundo son fundamentales para el éxito de la compañía» es literal del mismo 10-K. Los denominadores no son todos de la misma fecha (van de enero de 2026 a marzo de 2026, con IHG y McDonald's a cierre de 2025) y por eso cada uno lleva la suya en la tabla. Son nuestros: la comparación entre fichas y plantilla, los cocientes de la tabla, la lectura de que el cociente sigue al modelo de franquicia y no al descuido, el reconocimiento de que esa lectura no explica ni a Vodafone ni a Kyndryl, la advertencia de que las cifras del lote las afirma un vendedor y no las ha confirmado ninguna empresa, la exclusión de Hexaware y Wyndham por no haber verificado su plantilla, las comprobaciones de PowerShell y la posición sobre no tocar AllowedToReadOtherUsers. Las citas en castellano de textos originalmente en inglés son traducción nuestra.