38 TB δεδομένων που εκτέθηκαν κατά λάθος από ερευνητές της Microsoft AI

Τι πρέπει να ξέρετε

• Μέσα σε όλες τις
  
  διαρροές
  
  της Microsoft σήμερα, η ερευνητική ομάδα τεχνητής νοημοσύνης της Microsoft βρέθηκε επίσης ότι διέρρευσε κατά λάθος 38 TB ιδιωτικών δεδομένων της εταιρείας.
• Τα δεδομένα που διέρρευσαν περιελάμβαναν αντίγραφα ασφαλείας των υπολογιστών των εργαζομένων της Microsoft.
• Τα δεδομένα που αποθηκεύτηκαν στους υπολογιστές περιελάμβαναν κωδικούς πρόσβασης για τις υπηρεσίες της Microsoft, μυστικά κλειδιά και περισσότερα από 30.000 εσωτερικά μηνύματα του Teams από περισσότερους από 350 υπαλλήλους της εταιρείας.
• Η Microsoft έχει εκδώσει έκτοτε μια δήλωση που αναφέρει ότι τα δεδομένα πελατών δεν παραβιάστηκαν, όπως και οι εσωτερικές της υπηρεσίες.
• Η Wiz, μια εταιρεία κυβερνοασφάλειας, περιόρισε τη βασική αιτία της διαρ
  
  ροής
  
  σε μια λειτουργία
  
  Azure
  
  που ονομάστηκε Shared Access Signature (SAS) tokens, η οποία παρείχε στους χρήστες απεριόριστη πρόσβαση στους πόρους του Azure Storage.

Η Microsoft πρέπει να έχει μια μέρα στο γήπεδο μετά από αυτό που μπορεί να ονομαστεί η “μεγαλύτερη διαρροή στην ιστορία του Xbox”. Η διαρροή έφερε στο φως λεπτομέρειες σχετικά με μια ανανεωμένη κονσόλα

Xbox series X

με την κωδική ονομασία «Brooklin», η οποία έχει κυλινδρικό σχεδιασμό και αναμένεται να κυκλοφορήσει εντός του έτους τον Νοέμβριο.

Και

τώρα, η ερευνητική ομάδα AI της Microsoft διέρρευσε επίσης κατά λάθος 38 TB δεδομένων ιδιωτικής εταιρείας.

Σύμφωνα με το Wiz

, μια εταιρεία κυβερνοασφάλειας, τα δεδομένα περιελάμβαναν επίσης έναν σύνδεσμο με αντίγραφα ασφαλείας των υπολογιστών των εργαζομένων της Microsoft. Τα δεδομένα που ήταν αποθηκευμένα στους υπολογιστές περιείχαν κωδικούς πρόσβασης για τις υπηρεσίες της Microsoft, μυστικά κλειδιά και περισσότερα από 30.000 εσωτερικά μηνύματα του Teams από περισσότερους από 350 υπαλλήλους της εταιρείας.

Η Microsoft εξέδωσε γρήγορα μια δήλωση

μιλώντας στο TechCrunch

, διαβεβαιώνοντας τους ενδιαφερόμενους πελάτες ότι τα δεδομένα τους δεν κινδύνευαν. Η εταιρεία ανέφερε επίσης ότι δεν επηρεάστηκαν ούτε οι εσωτερικές υπηρεσίες.

Σύμφωνα με την έκθεση, η ερευνητική ομάδα τεχνητής νοημοσύνης ανέβασε τα δεδομένα εκπαίδευσης που περιέχουν ευαίσθητα δεδομένα, συμπεριλαμβανομένων κώδικα ανοιχτού κώδικα και μοντέλων τεχνητής νοημοσύνης για την αναγνώριση εικόνων. Ως εκ τούτου, οι χρήστες που βρήκαν το αποθετήριο GitHub μπορούσαν να έχουν πρόσβαση στον σύνδεσμο Azure, επιτρέποντάς τους να κάνουν λήψη των μοντέλων.

Και ενώ η Microsoft διαβεβαίωσε τους πελάτες ότι τα δεδομένα τους παρέμεναν ανέγγιχτα και ότι δεν επηρεάστηκαν οι εσωτερικές υπηρεσίες, ο σύνδεσμος παρείχε στους χρήστες πλήρη πρόσβαση στον λογαριασμό αποθήκευσης Azure. Παραδόξως, οι χρήστες με πρόσβαση θα μπορούσαν να αλλάξουν τα δεδομένα που είναι αποθηκευμένα στον λογαριασμό, συμπεριλαμβανομένης της μεταφόρτωσης, της αντικατάστασης, ακόμη και της διαγραφής υπαρχόντων αρχείων.

Η εταιρεία κυβερνοασφάλειας περιόρισε το ζήτημα σε μια λειτουργία Azure, τα διακριτικά Shared Access Signature (SAS). Ουσιαστικά, η δυνατότητα είναι μια διεύθυνση URL που παρέχει περιορισμένα δικαιώματα πρόσβασης στους πόρους του Azure Storage. Αν και είναι δυνατή η διαμόρφωση της δυνατότητας για περιορισμό της πρόσβασης σε συγκεκριμένα αρχεία, αυτός ο σύνδεσμος παρέχει στους χρήστες απεριόριστη πρόσβαση.

Η Wiz επισήμανε και ανέφερε το ζήτημα στη Microsoft στις 22 Ιουνίου 2023 και η εταιρεία απάντησε γρήγορα στο ζήτημα και ανακάλεσε το διακριτικό SAS στις 23 Ιουνίου 2023. Η Microsoft ανέφερε περαιτέρω σαρώσεις στα δημόσια αποθετήρια της, αλλά τα συστήματά της επισήμαναν τη σύνδεση που προκάλεσε το θέμα ως ψευδώς θετικό.

Διορθώσεις για το μέλλον

Ο πιθανός κίνδυνος που θα μπορούσαν να προκαλέσουν τέτοιες διαρροές εάν πέσουν σε λάθος χέρια είναι αδιανόητος. Ευτυχώς, σε αυτήν την περίπτωση, το ζήτημα επισημάνθηκε και διορθώθηκε γρήγορα.

Η Microsoft έχει εκδώσει έκτοτε μια ολοκληρωμένη λίστα με την επισήμανση

βέλτιστες πρακτικές

για χειρισμό SAS token. Είναι επίσης προφανές ότι οι χρήστες πρέπει να είναι προσεκτικοί όταν χρησιμοποιούν τη δυνατότητα και επίσης να διασφαλίζουν ότι τίθενται περιορισμοί για να αποφευχθεί η αναπαραγωγή μιας τέτοιας περίπτωσης στο μέλλον, η οποία θα μπορούσε ενδεχομένως να προκαλέσει μεγάλη ζημιά.