Οι υπάλληλοι της Microsoft διέρρευσαν ιδιωτικά δεδομένα μεγέθους 38 TB

Ερευνητές κυβερνοασφάλειας από τη Wiz ανακάλυψαν μια τεράστια ξεκλείδωτη βάση δεδομένων αποθήκευσης cloud του Microsoft Azure που φιλοξενεί ευαίσθητες πληροφορίες για εκατοντάδες άτομα, συμπεριλαμβανομένων ιδιωτικών κλειδιών και κωδικών πρόσβασης.

Αυτή η βάση με το πλήθος αποθηκευμένων δεδομένων ανήκε σε ερευνητές της Microsoft που εργάζονται στην Τεχνητή Νοημοσύνη (AI). Τα καλά νέα είναι ότι η βάση δεδομένων κλειδώθηκε πριν προλάβουν οι χάκερ να φτάσουν σε αυτήν.

Όπως εξήγησαν οι ερευνητές του Wiz, διερεύνησαν την τυχαία έκθεση δεδομένων που φιλοξενείτο στο cloud όταν βρήκαν ένα αποθετήριο Microsoft GitHub με κώδικα ανοιχτού κώδικα για μοντέλα τεχνητής νοημοσύνης, που θα χρησιμοποιηθεί για την αναγνώριση εικόνων. Τα μοντέλα φιλοξενούνταν σε μια διεύθυνση URL αποθήκευσης Azure, αλλά λόγω προφανούς ανθρώπινου λάθους, η αποθήκευση περιείχε επίσης δεδομένα στα οποία κανείς δεν έπρεπε να έχει πρόσβαση.

Για να αντιληφθούμε το μέγεθος του κινδύνου, αρκεί να πούμε πως διέρρευσαν δεδομένα όγκου 38 terabyte, συμπεριλαμβανομένων αντιγράφων ασφαλείας δύο υπολογιστών εργαζομένων της Microsoft, κωδικών πρόσβασης στις υπηρεσίες της Microsoft και περισσότερα από 30.000 μηνύματα συνομιλίας του Teams που ανταλλάσσονται από υπαλλήλους της Microsoft. Ο λογαριασμός αποθήκευσης δεν ήταν άμεσα προσβάσιμος, εξήγησαν οι ερευνητές. Αντίθετα, η ομάδα τεχνητής νοημοσύνης της Microsoft δημιούργησε ένα κοινόχρηστο διακριτικό υπογραφής πρόσβασης (SAS) που παρείχε πάρα πολλά δικαιώματα.

Η Wiz ενημέρωσε τη Microsoft για τα ευρήματά της στις 22 Ιουνίου και το διακριτικό SAS ανακλήθηκε δύο ημέρες αργότερα. Η εταιρεία χρειάστηκε σχεδόν τρεις εβδομάδες για να εκτελέσει μια ενδελεχή έρευνα, μετά την οποία κατέληξε στο συμπέρασμα ότι τα δεδομένα δεν είχαν πρόσβαση από κανένα μη εξουσιοδοτημένο τρίτο μέρος όπως είπε και το TechCrunch.

Για να διασφαλίσει ότι αυτά τα πράγματα δεν θα επαναληφθούν, η Microsoft επέκτεινε τη μυστική υπηρεσία του GitHub, η οποία παρακολουθεί όλες τις αλλαγές δημόσιου κώδικα ανοιχτού κώδικα για διαπιστευτήρια και άλλα μυστικά που εκτίθενται σε απλό κείμενο.