Кредиты изображений: Яап Арриенс / NurPhoto (Открывается в новом окне)/ Гетти Изображения
Microsoft устранила ошибку в системе безопасности, из-за которой внутренние файлы и учетные данные компании оказались в открытом доступе в Интернете.
Исследователи безопасности Джан Йолери, Мурат Озфидан и Эгемен Кочхисарлы из SOCRadar, компании по кибербезопасности, которая помогает организациям находить слабые места в безопасности, обнаружили открытый общедоступный сервер хранения, размещенный в облачной службе Microsoft Azure, на котором хранилась внутренняя информация, относящаяся к поисковой системе Microsoft Bing.
На сервере хранения Azure размещался код, сценарии и файлы конфигурации, содержащие пароли, ключи и учетные данные, используемые сотрудниками Microsoft для доступа к другим внутренним базам данных и системам.
Но сам сервер хранения не был защищен паролем, и к нему мог получить доступ любой человек в Интернете.
Йолери рассказал TechCrunch, что раскрытые данные потенциально могут помочь злоумышленникам идентифицировать или получить доступ к другим местам, где Microsoft хранит свои внутренние файлы. Идентификация этих мест хранения «может привести к более значительным утечкам данных и, возможно, поставить под угрозу используемые сервисы», — сказал Йолери.
Исследователи уведомили Microsoft о нарушении безопасности 6 февраля, а 5 марта Microsoft защитила утечку файлов.
По электронной почте представитель Microsoft не предоставил комментариев на момент публикации. В заявлении, опубликованном после публикации в среду, Джефф Джонс из Microsoft сообщил TechCrunch: «Хотя учетные данные не должны были быть раскрыты, они были временными, доступными только из внутренних сетей и отключенными после тестирования. Мы благодарим наших партнеров за ответственное сообщение об этой проблеме».
Джонс не сообщил, как долго облачный сервер был доступен в Интернете и обнаружил ли кто-либо, кроме SOCRadar, открытые данные внутри.
Это последняя ошибка в безопасности Microsoft, поскольку компания пытается восстановить доверие своих клиентов после серии инцидентов с облачной безопасностью, произошедших в последние годы. В результате аналогичного нарушения безопасности в прошлом году исследователи обнаружили, что сотрудники Microsoft раскрывали данные для входа в свои собственные корпоративные сети в коде, опубликованном на GitHub.
Microsoft также подверглась критике в прошлом году после того, как компания признала, что не знает, как хакеры, поддерживаемые Китаем, украли внутренний ключ подписи электронной почты , который позволил хакерам широкий доступ к почтовым ящикам высокопоставленных правительственных чиновников США, размещенным в Microsoft. Независимый совет киберэкспертов, которому было поручено расследовать взлом электронной почты, в своем отчете, опубликованном на прошлой неделе, написал, что хакерам удалось добиться успеха благодаря «каскаду сбоев в системе безопасности Microsoft».
В марте Microsoft заявила, что продолжает противостоять продолжающейся кибератаке , которая позволила российским хакерам, поддерживаемым государством, украсть части исходного кода компании и внутренние электронные письма от руководителей корпорации Microsoft.
Обновлено с комментарием Microsoft.