La división de investigación de inteligencia artificial (IA) de Microsoft filtró accidentalmente 38 terabytes de datos confidenciales entre julio de 2020 y junio de 2023. Este incidente fue descubierto por la empresa de seguridad en la nube Wiz, que identificó el error al detectar una URL mal configurada en un almacenamiento Azure Blob.
El error se debió a un token SAS excesivamente permisivo
Microsoft vinculó la exposición de los datos a la utilización de un token de firma de acceso compartido (SAS) con permisos amplios. Este tipo de tokens, cuando se usan correctamente, permiten otorgar acceso delegado a recursos dentro de una cuenta de almacenamiento, con control preciso sobre el acceso y duración del token.
Wiz destacó que los tokens SAS son difíciles de monitorear y revocar debido a la falta de gobernanza. Además, pueden configurarse para tener una vigencia indefinida, lo cual representa un riesgo significativo para la seguridad.
Datos expuestos incluyen información sensible de empleados
El equipo de investigación de Wiz descubrió que, además de modelos de código abierto, se permitió el acceso a 38 terabytes de datos privados. Entre los datos expuestos se encontraban copias de seguridad de información personal de empleados de Microsoft, incluidas contraseñas de servicios internos, claves secretas y más de 30.000 mensajes internos de Microsoft Teams procedentes de 359 empleados.
Microsoft informó que no se expusieron datos de clientes ni otros servicios internos, aunque el incidente fue mitigado al revocar el token SAS el 24 de junio de 2023. Wiz alertó sobre la dificultad de monitorear y evitar este tipo de errores en un entorno donde se manejan grandes volúmenes de datos.
Incidentes similares han ocurrido previamente
En septiembre de 2022, la empresa de inteligencia sobre amenazas SOCRadar detectó otro depósito mal configurado en Azure Blob Storage perteneciente a Microsoft. Este almacenamiento contenía datos confidenciales vinculados a más de 65.000 entidades de 111 países.
Microsoft negó que los números presentados por SOCRadar reflejaran el alcance real del problema, considerando que se habían exagerado.