Af Eskil Sørensen, 23/01/20
Ifølge Microsoft indeholder databasen information som e-mail, IP-adresser og supportoplysninger på kunder. Alt i alt 250 mio. entries, som ved et uheld blev eksponeret online mellem den 5. og 31. december 2019 uden beskyttelse. Det oplyses, at der var tale om anonymiseret brugerstatistik, men at de fleste oplysninger ikke indeholder personlig brugerinformation. Selve databasen indeholde entries for kunder fra hele verden i en periode fra 2005 til december 2019.
Sikkerhedsresearcher Bob Diachenko hos Security Discovery krediteres for at have fundet databasen og rapporteret den til Microsoft, som sikrede databasen samme dag som de bekendt med sagen.
Meget opmærksomhed
En lang række medier skriver om sagen. Forbes.com bringer den ud fra vinklen om, at Microsoft har været i vælten på det seneste – og det ikke for det gode – og der henvises til den endnu ikke rettede Internet Explorer-sårbarhed og Windows 10-opdateringen, der fik den amerikanske regeringen på banen med en ”opdatér nu”-advarsel.
Ifølge Forbes og Microsoft selv ser det ud til, at personlige identificerbare oplysninger har været automatisk bortredigeret, men det fremgår, at meget af data indeholdt geografiske oplysninger, beskrivelse af indholdet i kundesager og kundeklager, emailadresser på supportmedarbejdere hos Microsoft, sagsnumre og interne noter, som har været er markeret som fortrolige.
Alt dette kan være guld værd for personer og grupper med slette hensigter, der kan bruge informationerne til at lære mere om kundernes it-systemer og på den baggrund være bedre rustet til at hævde at komme fra Microsoft Support, der blot vil følge op på en supportsag .."regarding your Microsoft computer..". Noget som de fleste har prøvet og allerede i dag nærer en sund skepsis over for.
Men nu er der grund til at være endnu mere skeptisk.
Anbefaling:
Vær altid skeptisk, når du får en henvendelse fra nogen, der hævder at kende din it.
Links:
https://www.comparitech.com/blog/information-security/microsoft-customer-service-data-leak/
https://msrc-blog.microsoft.com/2020/01/22/access-misconfiguration-for-customer-support-database/
https://www.forbes.com/sites/daveywinder/2020/01/22/microsoft-security-shocker-as-250-million-customer-records-exposed-online/#6ba18f754d1b
https://www.reuters.com/article/us-microsoft-cyber-insight/exclusive-microsoft-responded-quietly-after-detecting-secret-database-hack-in-2013-idUSKBN1CM0D0
https://www.bleepingcomputer.com/news/security/microsoft-exposes-250m-customer-support-records-on-leaky-servers/
https://www.darkreading.com/application-security/database-security/configuration-error-reveals-250-million-microsoft-support-records/d/d-id/1336857
https://www.hackread.com/250-million-microsoft-customer-support-records-leaked-plain-text/
https://www.infosecurity-magazine.com/news/microsoft-exposes-250-million-call/
https://nakedsecurity.sophos.com/2020/01/22/big-microsoft-data-breach-250-million-records-exposed/
https://www.securityweek.com/microsoft-exposed-250-million-customer-support-records
https://thehackernews.com/2020/01/microsoft-customer-support.html
https://www.theregister.co.uk/2020/01/22/microsoft_support_database_leak/
https://www.zdnet.com/article/microsoft-discloses-security-breach-of-customer-support-database/
https://www.itnews.com.au/news/config-flub-by-microsoft-exposed-millions-of-customer-details-536911