מיקרוסופט הדליפה בטעות 38 TB של נתוני עובדים חסויים

שוב, מיקרוסופט הוכנסה לאור הזרקורים בעקבות הפרת נתונים חסויים. נאמר כי האירוע התרחש כתוצאה משגיאה שנעשתה על ידי קבוצת מחקר שעבדה על בינה מלאכותית.

דיווחים של חברת אבטחת סייבר, קוֹסֵם, מציעים שהפריצה חשפה 38 טרה-בייט של נתונים רגישים של Microsoft, כולל סיסמאות עבור שירותי מיקרוסופט, מפתחות פרטיים ויותר מ-30,000 הודעות Teams פנימיות שנשלחו על ידי יותר מ-350 חברות עובדים. הנתונים הכילו גם קישורים לעותקי גיבוי של מחשבי עובדים.

החקירה הראתה כי מפתחי מיקרוסופט, כאשר הם עובדים עם GitHub, פרסמו אסימון חתימה של גישה משותפת (Shared-access-signature, SAS) בצורה פתוחה ב-GitHub מאגר, וגם פרמטרי גישה שהוגדרו בצורה שגויה לאחסון הענן העובד של נתונים פנימיים בפלטפורמת Azure, המספקים גישה מתירנית מדי באמצעות זה אֲסִימוֹן.

זה אפשר לכל משתמש שהיה לו גישה לאסימון וידע את כתובת הרשת החיצונית של הענן הפנימי אחסון כדי להשיג שליטה מלאה על כל הנתונים באזור ספציפי של אחסון Azure בבעלות שני עובדי Microsoft חשבונות. קישור בתוך נתונים אלה סיפק גישה בלתי מוגבלת לחשבון Azure Storage, מה שאומר שכל אחד יכול לשנות, להחליק או למחוק קבצים.

התברר שהנתונים הללו היו זמינים משנת 2020. Wiz הודיעה למיקרוסופט על הבעיה ב-22 ביוני 2023, ויומיים לאחר מכן ביטלה החברה את אסימון SAS. השירותים הפנימיים של החברה לא הושפעו. עם זאת, ייתכן שהתקרית אפשרה לתוקפים למחוק, לשנות או להחדיר קבצים למערכות ושירותים פנימיים של מיקרוסופט על פני פרק זמן ממושך באזור ספציפי של Azure אִחסוּן.

נראה שהבעיה נובעת מכך שהאסימון Shared Access Signature (SAS) אינו מוגדר כהלכה ב-Azure. למרות שהפונקציה נועדה להגביל גישה לקבצים מסוימים, קישור מסוים זה אפשר גישה בלתי מוגבלת לאחסון.

מיקרוסופט ערכה סקירה יסודית של המאגרים הציבוריים שלה ומצאה שמערכות אבטחה זיהה את פרסום הקישור בזמן, אך הוא זוהה בטעות כשקרי חִיוּבִי. מהנדסי החברה צפויים לשנות את הגדרות המערכת כדי למנוע בעיות דומות להתרחש בעתיד.