Microsoft bekræfter datalækage, der eksponerer 250 millioner kundesupportoptegnelser, der er opstået på grund af 'forkert konfigureret' database
Microsoft afslørede ved et uheld 250 millioner kundeservice- og supportregistreringer online. Den utilsigtede datalækage opstod på grund af "miskonfiguration" af en database, som virksomheden brugte til at vedligeholde kundesupportoplysninger. Microsoft har officielt anerkendt datalækagen og har truffet foranstaltninger for at stoppe det samme. Imidlertid rejser virksomhedens svar på eksponering af vigtige og sandsynligvis følsomme oplysninger fra millioner af Microsoft-kunder nogle alvorlige spørgsmål om dataintegritet og beskyttelse.
Efter en rapport, der hævdede, at Microsoft udsatte data for omkring 250 millioner af sine kunder, bekræftede virksomheden det samme. Virksomheden har angivet, at databasen ikke var korrekt opsat for at beskytte sig mod så massiv dataeksponering. De lækkede data spænder over mere end 14 år og indeholder flere uddrag af oplysninger om kunder og deres interaktion med Microsoft. Virksomheden har siden sikret databasen og bekræftet, at den aldrig indeholdt personligt identificerbare oplysninger.
Microsoft udsætter ved et uheld 250 millioner kundeservice- og supportoptegnelser online og bebrejder dårlig konfiguration:
De lækkede data omfattede samtaler mellem Microsofts supportagenter og kunder, der blev optaget fra 2005 til december 2019. I det væsentlige efterlod Microsoft dataene usikrede. Med andre ord forlod virksomheden data åbne og tilgængelige for alle. Sådanne 'usikrede' databaser er overraskende almindelige. Enkelt sagt er databaser ikke lette at finde eller søge. Da de imidlertid ikke er beskyttet af adgangskoder og kryptering, kan alle få adgang til dem.
De eksponerede og usikrede data blev opdaget den 29. december, og efter at have fået en advarsel om det samme, gik Microsoft i gang inden for en dag, angav Bob Diachenko fra Comparitechs sikkerhedsteam. ”Jeg rapporterede straks dette til Microsoft, og inden for 24 timer var alle servere sikret. Jeg bifalder MS-supportteamet for lydhørhed og hurtig vending på dette på trods af nytårsaften. ”
De lækkede data indeholdt følgende oplysninger:
- Kundens e-mail-adresser
- IP-adresser
- Placeringer
- Beskrivelser af CSS-krav og sager
- Microsoft supportagent e-mails
- Sagsnumre, beslutninger og bemærkninger
- Interne noter markeret som "fortrolige"
Eksponerede kundedatabaser er meget farlige på lang sigt, angiver eksperter:
Det er sandsynligt, at Microsoft udsender en eller anden form for alarm til de kunder, der var en del af den eksponerede database. Dataene i de forkerte hænder er dog meget værdifulde. Dette skyldes, at dataene let kan bruges til at starte teknisk support-svindel. Da kundesupportdata inkluderer følsomme oplysninger, som kun Microsoft burde kende, kan ofre let blive overbevist og snydt. Microsoft har bekræftet, at de vil tage følgende handlinger for at forhindre fremtidige forekomster af dette problem:
- Revision af de etablerede netværkssikkerhedsregler for interne ressourcer.
- Udvidelse af omfanget af de mekanismer, der registrerer miskonfigurationer af sikkerhedsregler.
- Tilføjelse af yderligere alarmering til serviceteams, når fejlkonfigurationer af sikkerhedsreglerne registreres.
- Implementering af yderligere redaktionsautomatisering.
Der har været adskillige rapporter om sådanne udsatte databaser. Den mest almindelige fejl blandt teknologivirksomheder er at lade databasen være usikret eller uden ordentlig adgangskodebeskyttelse. Sådanne databaser er ikke let tilgængelige. Men mange ondsindede kodeforfattere og hackere rutinemæssigt køre programmer der er designet til sniff ubeskyttede eller udsatte databaser ud. Der har været et par tilfælde hvor hackere har enten haft dataløsepenge eller blot fjernet værdifuld information der derefter sælges på det mørke web.
