¿Cómo pasó? ¡Microsoft expone accidentalmente 38 terabytes de datos confidenciales!

Investigadores de Microsoft AI expusieron accidentalmente terabytes de datos internos sensibles, incluyendo claves privadas y contraseñas, mientras publicaban un repositorio de datos de entrenamiento de código abierto en GitHub.

La exposición involuntaria de esta información podría haber permitido a cualquier persona con acceso a la URL manipular, eliminar o inyectar contenido malicioso en los datos expuestos.

Terrible error de seguridad de Microsoft le hace exponer información sensible

En una investigación, la startup de seguridad en la nube Wiz dijo que descubrió un repositorio de GitHub perteneciente a la división de investigación de IA de Microsoft como parte de su trabajo en curso sobre la exposición accidental de datos alojados en la nube.

Los lectores del repositorio de GitHub, que proporcionaba código fuente abierto y modelos de IA para reconocimiento de imágenes, recibieron instrucciones de descargar los modelos desde una URL de almacenamiento de Azure. Sin embargo, Wiz descubrió que esta URL estaba configurada para otorgar permisos en toda la cuenta de almacenamiento, exponiendo por error datos privados adicionales.

¿Qué había en los datos expuestos de Microsoft?

Esta información incluía 38 terabytes de información sensible, con copias de seguridad personales de dos ordenadores personales de empleados de Microsoft. Los datos también contenían otros datos personales confidenciales, como contraseñas de los servicios de Microsoft, claves secretas y más de 30,000 mensajes internos de Microsoft Teams de cientos de empleados de Microsoft.

La URL, que había expuesto estos datos desde 2020, también estaba mal configurada para permitir "control total" en lugar de permisos de solo lectura, según Wiz, lo que significaba que cualquier persona que supiera dónde buscar podría potencialmente eliminar, reemplazar e inyectar contenido malicioso en ellos.

Wiz señala que la cuenta de almacenamiento no se expuso directamente. En cambio, los desarrolladores de IA de Microsoft incluyeron un token de firma de acceso compartido (SAS) excesivamente permisivo en la URL. Los tokens SAS son un mecanismo utilizado por Azure que permite a los usuarios crear enlaces compartibles que otorgan acceso a los datos de una cuenta de almacenamiento de Azure.

Conclusión

El incidente de Microsoft AI researchers pone de manifiesto la necesidad de implementar medidas de seguridad más rigurosas al manejar grandes cantidades de datos.

Los usuarios también deben ser conscientes de los riesgos asociados con la exposición accidental de datos y tomar medidas para proteger su información personal.

Por otro lado, este incidente también resalta los posibles daños que pueden ocurrir cuando se accede a datos sensibles por parte de personas no autorizadas. Es importante que las empresas y los desarrolladores implementen controles de seguridad adecuados para evitar la exposición de datos confidenciales