قامت شركة مايكروسوفت بتسريب 38 تيرابايت من بيانات الموظفين السرية عن طريق الخطأ

مرة أخرى، تم دفع مايكروسوفت إلى دائرة الضوء بعد خرق البيانات السرية. ويقال إن الحادث وقع نتيجة خطأ ارتكبته مجموعة بحثية كانت تعمل في مجال الذكاء الاصطناعي.

تقارير من شركة الأمن السيبراني، الحذقتشير إلى أن الاختراق كشف عن 38 تيرابايت من بيانات Microsoft الحساسة، بما في ذلك كلمات المرور الخاصة بـ خدمات Microsoft والمفاتيح الخاصة وأكثر من 30000 رسالة Teams داخلية مرسلة من أكثر من 350 شركة موظفين. وتضمنت البيانات أيضًا روابط لنسخ احتياطية لأجهزة الكمبيوتر الخاصة بالموظفين.

أظهر التحقيق أن مطوري Microsoft، عند العمل مع GitHub، نشروا رمزًا مميزًا لتوقيع الوصول المشترك (توقيع الوصول المشترك، SAS) في نموذج مفتوح في GitHub المستودع، وكذلك معلمات الوصول التي تم تكوينها بشكل غير صحيح للتخزين السحابي العامل للبيانات الداخلية على النظام الأساسي Azure، مما يوفر وصولاً متساهلًا بشكل مفرط من خلال هذا رمز مميز.

سمح هذا لأي مستخدم لديه حق الوصول إلى الرمز المميز ويعرف عنوان الشبكة الخارجية للسحابة الداخلية التخزين للحصول على التحكم الكامل في جميع البيانات الموجودة في منطقة معينة من مساحة تخزين Azure المملوكة لاثنين من موظفي Microsoft حسابات. يوفر رابط ضمن هذه البيانات وصولاً غير محدود إلى حساب تخزين Azure، مما يعني أنه يمكن لأي شخص تغيير الملفات أو الكتابة فوقها أو حذفها.

وتبين أن هذه البيانات كانت متاحة منذ عام 2020. أبلغ Wiz Microsoft بالمشكلة في 22 يونيو 2023، وبعد يومين، ألغت الشركة رمز SAS المميز. ولم تتأثر الخدمات الداخلية للشركة. ومع ذلك، ربما سمح الحادث للمهاجمين بحذف الملفات أو تعديلها أو إدخالها في الأنظمة وخدمات Microsoft الداخلية على مدار فترة زمنية ممتدة في منطقة معينة من Azure تخزين.

يبدو أن المشكلة تنبع من عدم تكوين الرمز المميز لتوقيع الوصول المشترك (SAS) بشكل صحيح في Azure. على الرغم من أن الوظيفة مصممة لتقييد الوصول إلى ملفات معينة، إلا أن هذا الارتباط المحدد يسمح بالوصول غير المقيد إلى وحدة التخزين.

أجرت Microsoft مراجعة شاملة لمستودعاتها العامة ووجدت أن أنظمة الأمان لقد اكتشفنا نشر الرابط في الوقت المناسب، ولكن تم تحديده عن طريق الخطأ على أنه زائف إيجابي. ومن المتوقع أن يقوم مهندسو الشركة بتعديل إعدادات النظام لمنع حدوث مشكلات مماثلة في المستقبل.