Microsoft svela le password dei dipendenti su Azure

I ricercatori di SOCRadar hanno scoperto uno storage server su Azure con diverse informazioni interne relative a Bing. Il server era accessibile da Internet, quindi chiunque poteva vedere password e altri dati di alcuni dipendenti. Si tratta di un grave incidente di sicurezza per Microsoft, già al centro delle critiche dopo l’attacco effettuato contro Outlook da parte di cybercriminali cinesi.

Nuovo “big fail” per Microsoft

Tre ricercatori di SOCRadar, azienda specializzata nell’individuazione di falle nella sicurezza delle organizzazioni, hanno scoperto uno storage server aperto e pubblico su Azure. Non essendo protetto con una password era accessibile da Internet. Il server ospitava codice, script e file di configurazione con password, chiavi e credenziali usate dai dipendenti di Microsoft per accedere a database e sistemi interni.

I ricercatori hanno segnalato il problema il 6 febbraio. Microsoft ha messo al sicuro il server quasi un mese dopo (5 marzo). Non è noto da quanto tempo era possibile accedere al server e se le password sono state resettate. I ricercatori hanno evidenziato la gravità dell’accaduto, in quanto i dati esposti potrebbero essere sfruttati per compromettere i sistemi interni di Microsoft.

Questo è solo l’ultimo di una serie di incidenti dovuti a “distrazioni”. Ad agosto 2022, alcuni dipendenti avevano lasciato le credenziali di login ai sistemi interni nel codice pubblicato su GitHub.

L’anno scorso, i cybercriminali cinesi del gruppo Storm-0558 sono riusciti ad accedere ad alcuni account Outlook (anche quelli di agenzie governative degli Stati Uniti). In base al report della Cyber Safety Review Board, l’accesso è stato facilitato da una “cascata di fallimenti nella sicurezza” da parte di Microsoft.