Microsoft resolvió una falla de seguridad que exponía los archivos y las credenciales de la empresa a Internet.
Can Yoleri, Murat Özfidan y Egemen Koçhisarlı, investigadores de seguridad de SOCRadar, una empresa de ciberseguridad que ayuda a las organizaciones a encontrar debilidades de seguridad, implementaron la búsqueda Bing de Microsoft en servidores de almacenamiento públicos abiertos alojados en el servicio de nube Azure de Microsoft. El motor estaba almacenado.
Los servidores de almacenamiento de Azure almacenan código, scripts y archivos de configuración que contienen contraseñas, claves y credenciales que los empleados de Microsoft utilizan para acceder a otras bases de datos y sistemas internos.
Sin embargo, el servidor de almacenamiento en sí no estaba protegido con contraseña y cualquier persona podía acceder a él en Internet.
Yorelli le dijo a TechCrunch que los datos expuestos podrían ayudar a los actores maliciosos a identificar o acceder a otras ubicaciones donde Microsoft almacena archivos internos. La identificación de estas ubicaciones de almacenamiento “podría conducir a una violación de datos más importante y poner en riesgo los servicios que utiliza”, dijo Yoreli.
Los investigadores notificaron a Microsoft sobre la falla de seguridad el 6 de febrero y Microsoft aseguró los archivos filtrados el 5 de marzo.
Un portavoz de Microsoft, contactado por correo electrónico, no hizo comentarios al momento de la publicación. En un comunicado emitido después de la publicación del artículo el miércoles, Geoff Johns de Microsoft dijo a TechCrunch: “Las credenciales no deberían haber estado expuestas, pero eran temporales, solo se podía acceder a ellas desde redes internas y se desactivaron después de las pruebas. Gracias a nuestros socios por informar responsablemente este problema”.
Jones no dijo cuánto tiempo habían estado expuestos los servidores en la nube a Internet o si alguien más que SOCRadar había descubierto los datos expuestos en su interior.
Este es el último error de seguridad de Microsoft, que está tratando de reconstruir la confianza con los clientes después de una serie de incidentes de seguridad en la nube en los últimos años. En un error de seguridad similar el año pasado, los investigadores descubrieron que los empleados de Microsoft habían expuesto la información de inicio de sesión de la red de su empresa en un código publicado en GitHub.
Microsoft fue criticado el año pasado después de admitir que no sabía cómo los piratas informáticos respaldados por China robaron claves internas de firmas de correo electrónico y obtuvieron acceso generalizado a las bandejas de entrada alojadas en Microsoft de altos funcionarios del gobierno estadounidense. El panel independiente de expertos cibernéticos encargado de investigar la violación del correo electrónico dijo en un informe publicado la semana pasada que los piratas informáticos pudieron tener éxito gracias a “una serie de fallos de seguridad de Microsoft”.
Microsoft anunció en marzo que continuaba luchando contra un ciberataque en curso que permitió a piratas informáticos respaldados por el gobierno ruso robar parte del código fuente de la empresa y correos electrónicos internos de sus ejecutivos.
Comentario actualizado de Microsoft.
Microsoft revela cómo los piratas informáticos robaron claves de firmas de correo electrónico…
Fuente: https://techcrunch.com/2024/04/09/microsoft-employees-exposed-internal-passwords-security-lapse/
