Microsoft сообщила об утечке информации из БД службы поддержки клиентов

Рекомендуем почитать:

Xakep #249. Wi-Fi

• Содержание выпуска
• Подписка на «Хакер»

Компания Microsoft сообщила об утечке данных, произошедшей в декабре прошлого года. Внутренняя база данных службы поддержки клиентов, в которой хранилась аналитическая информация, случайно оказалась открыта всем желающим, и оставалась доступной с 5 по 31 декабря 2019 года.

Утечку обнаружил специалист компании Security Discovery Боб Дьяченко. Проблемная БД службы поддержки клиентов представляла собой кластер из пяти серверов Elasticsearch. Все пять серверов хранили одни и те же данные и выглядели как зеркала друг друга. Хотя Дьяченко обнаружил утечку 31 декабря и сообщил Microsoft о проблеме перед самым Новым годом, специалисты компании отреагировали оперативно и обезопасили открытую БД в тот же день.

Kudos to MS Security Response team - I applaud the MS support team for responsiveness and quick turnaround on this despite New Year’s Eve. https://t.co/PPLRx9X0h4

— Bob Diachenko (@MayhemDayOne) January 22, 2020

Вышеупомянутые серверы содержали около 250 000 000 записей с различной информацией, включая адреса электронной почты, IP-адреса, а также логи разговоров между сотрудниками службы поддержки Microsoft и клиентами со всего мира и сведения о предоставленных услугах поддержки. БД охватывала период с 2005 по 2019 годы.

При этом Microsoft заявляет, что большинство записей не содержали никакой личной информации о пользователях, так как информация в аналитической базе «редактируется с использованием автоматических инструментов для удаления личной информации». Лишь в случаях, когда пользователи обращались в службу поддержки, используя нестандартно форматированные данные (например, «имя фамилия @ emailдомен com» вместо «имя.фамилия@email.com»), эта информация не обнаруживалась автоматическими инструментами, не редактировалась и оседала в базе данных. Таких клиентов уже начали уведомлять о случившемся.

Причиной этой утечки данных в Microsoft назвали случайность и неверно настроенные правила безопасности Azure, которые были применены 5 декабря и теперь, конечно, уже были исправлены.

Источник