Špatná konfigurace serverů způsobila, že si mohl kdokoliv přečíst záznam komunikace mezi zákazníky Microsoftu a jeho uživatelskou podporou. Chybu náhodou objevil bezpečnostní expert Bob Diachenko z Comparitechu, když si všiml, že tajná data zaindexoval vyhledávač BinaryEdge. Chybu ihned nahlásil a Microsoft ji do tří dnů opravil.
Podle Comparitechu uniklo 250 milionů záznamů (nejde o počet postižených uživatelů) z období mezi rokem 2005 a prosince 2019. Většina dat byla automaticky anonymizována, přesto ale u řady záznamů zůstaly čitelné e-mailové adresy zákazníků i lidí z podpory Microsoftu, IP adresy či přibližné fyzické adresy lidí. Kromě toho záznamy nesly popis problémů, stav řešení nebo interní poznámky označené jako „důvěrné“.
TIP: Síň hanby. Tohle je 25 nejhorších hesel roku 2019
Informaci, že většina data byla redakčně upravena, potvrdil i Microsoft. Ony výjimky prý zůstaly čitelné například kvůli nestandardně zapsaným e-mailovým adresám, které obsahovaly mezery (např. honza @ gmail.com). Omylem zveřejněnou databázi už ale zamkl, algoritmus pro anonymizaci upravil a provede dodatečné bezpečnostní audity.
TIP: První záplaty roku 2020 řeší díru odhalenou NSA. Jsou poslední pro Windows 7
Kromě toho informoval osoby, jejichž adresy byly součástí uniklých záznamů. Zatím prý nemá důkaz o tom, že by byly jakkoliv zneužity. Fakticky ani nešlo o data, která by mohla sloužit k hackům. Uniklé adresy a popisy problémů by ale potenciální útočníci mohli využít k phishingu či scamu.
Zdroj: Microsoft, Comparitech
