Podczas gdy większość osób świętowała początek 2020 roku, zespół bezpieczeństwa w Microsofcie pracował korzystając z nadgodzin, aby zamknąć i naprawić potencjalnie największą lukę w zabezpieczeniach firmy. W tym tygodniu Microsoft ujawnił, iż jego baza danych dawała dostęp do 250 milionów rekordów i danych użytkowników korzystających z biura obsługi klienta oraz wsparcia technicznego. Do danych mógł mieć dostęp każdy, kto… posiada przeglądarkę internetową.
Pierwotnie wspomniana luka została odkryta 29 grudnia przez badaczy bezpieczeństwa Boba Diachenko i firmę Comparitech. Microsoft szybko naprawił problem zaledwie dwa dni później. Z czego więc wynikał błąd? Według giganta z Redmond z błędnej konfiguracji jednej z wewnętrznych baz przeznaczonych do obsługi klientów. Firma twierdzi także, iż nie znalazła żadnych śladów ani dowodów na to, iż baza została wykorzystana lub naruszona przez cybeprzestępców.
Microsoft twierdzi także, iż ogromna większość ujawnionych danych została zredagowana. Niektóre informacje, takie jak adresy IP i adresy e-mail były zapisane w postaci zwykłego tekstu. Gdyby ktoś mógł uzyskać dostęp do dzienników w bazie danych, mógłby wykorzystać je do podszywania się pod pracowników firmy w kontekście ataku phishingowego.
„Chcemy szczerze przeprosić naszych użytkowników jednocześnie zapewniając, iż podjęliśmy wszystkie kroki, aby sytuacja nie powtórzyła się w przyszłości” – przekazał Microsoft w oficjalnym oświadczeniu dotyczącym opisywanej sytuacji.
Po ekspozycji danych użytkowników, Microsoft ma zamiar przeprowadzić pełen audyt wewnętrznych zasad bezpieczeństwa, a także wdrożyć dodatkowe narzędzia, które będą dbały o automatyczne redagowanie wrażliwych informacji klientów. Amerykańska firma stworzyła również nowe alerty, które mają natychmiast powiadamiać zespoły serwisowe jeśli wykryją one błędną konfigurację w zabezpieczeniach.
To drugi poważny incydent Microsoftu związany z bezpieczeństwem danych na przestrzeni 2019 oraz 2020 roku. Pozostaje mieć nadzieję, że nie będzie ich więcej.
Źródło: Microsoft