Microsoft: esposto database da 250M di clienti

A fine anno i ricercatori del team Comparitech hanno scoperto online un enorme database appartenente al servizio clienti di Microsoft, contenente informazioni riguardanti le richieste inoltrate all’assistenza per le ragioni più svariate: problemi di configurazione del sistema operativo, dubbi sul funzionamento dei prodotti hardware, attivazione delle licenze e così via.

Leak Microsoft: online database del supporto clienti

Il leak è stato individuato mediante il motore di ricerca BinaryEdge. Cinque le copie dell’archivio scovate, tutte identiche, ospitate da altrettanti server ElastiSearch, accessibili tramite un semplice browser e non protette da alcuna forma di crittografia né da una password. Al suo interno ben 250 milioni di record compilati in un lasso di tempo molto lungo, dal 2005 a fine 2019, tutti relativi a richieste di supporto provenienti da ogni parte del mondo.

Questi i dati inclusi: email del cliente, indirizzo IP, località, email dell’operatore incaricato di gestire il ticket, numero della richiesta, descrizione dell’intervento, stato di avanzamento ed eventuali altri dettagli. Presenti anche note interne etichettate come “confidenziali”.

La scoperta del database è da far risalire al 28 dicembre. Comparitech ha immediatamente avvisato Microsoft e gli archivi sono stati eliminati fra il 30 e il 31 dicembre. La notizia è poi emersa solo oggi dopo che il gruppo di Redmond ne ha parlato sulle pagine del proprio blog ufficiale.

Non è ad ogni modo da escludere che ulteriori copie del database stiano ancora circolando sui circuiti peer-to-peer o nei meandri del Dark Web. Come sempre in questi casi non mancano i potenziali rischi per gli utenti interessati: sulla base delle informazioni trapelate un malintenzionato potrebbe entrare in contatto con uno dei clienti che negli anni scorsi hanno chiesto assistenza, ad esempio inviando un’email con l’obiettivo di mettere in atto un raggiro o di ottenere le credenziali di accesso agli account personali. Il tentativo potrebbe risultare credibile e ingannare così la vittima facendo leva sui dettagli di una richiesta realmente effettuata in passato.