Una brecha de seguridad fue descubierta por la firma de ciberseguridad SOCRadar. Datos sensibles estaban accesibles en un servidor de almacenamiento en la nube de Microsoft sin protección de contraseña.
Detalles del incidente
El servidor pertenecía al servicio Azure de Microsoft y contenía información interna sobre el motor de búsqueda Bing. Los investigadores Can Yoleri, Murat Özfidan y Egemen Koçhisarlı notificaron a Microsoft la brecha el 6 de febrero.
Respuesta de Microsoft
Microsoft aseguró los archivos expuestos el 5 de marzo. El servidor no estaba protegido con una contraseña y podía ser accedido por cualquier persona.
Comunicación oficial
Jeff Jones, de Microsoft, declaró que «Aunque las credenciales no deberían haber sido expuestas, eran temporales, accesibles solo desde redes internas y desactivadas después de las pruebas.»
Credenciales expuestas en GitHub
Múltiples empleados de Microsoft expusieron credenciales de inicio de sesión sensibles a la infraestructura interna en GitHub. La firma SOCRadar fue la que descubrió el servidor abierto y público.
Descubrimiento adicional por SpiderSilk
SpiderSilk, otra firma de ciberseguridad, encontró siete ejemplos de inicios de sesión de Microsoft expuestos. Todas las credenciales estaban asociadas con un ID de inquilino oficial de Microsoft.
Credenciales activas
Tres de las credenciales aún estaban activas cuando SpiderSilk las descubrió. Uno de los perfiles de GitHub con credenciales expuestas y activas hace referencia al repositorio de código de Azure DevOps.
Acceso a sistemas internos
En marzo, atacantes obtuvieron acceso a una cuenta de Azure DevOps y publicaron gran cantidad de código fuente de Microsoft, incluidos los de Bing y Cortana. No se han visto evidencias de que se haya accedido a datos sensibles o que las credenciales se hayan utilizado incorrectamente.
Resolución de la brecha
Microsoft parece haber resuelto dicha brecha de seguridad. Este incidente se suma a una serie de errores de seguridad anteriores de la empresa, erosionando la confianza de los clientes.
Historia previa de incidentes
En un incidente similar del año pasado, Microsoft fue criticada después de que admitiera que no sabía cómo los piratas informáticos respaldados por China robaron una clave de firma de correo electrónico interna.