Descubren un servidor de Microsoft con datos clave que no tenía contraseña

Si alguna vez pensaste que «1234» o «password» eran las peores contraseñas, estabas en un error. Investigadores de seguridad descubrieron que un servidor de Microsoft no estaba protegido por contraseña, por lo que cualquier persona tuvo acceso a código fuente y datos personales de algunos empleados de la compañía.

De acuerdo con TechCrunch, un servidor de Bing que contenía código, archivos de configuración, nombres de usuario y claves de empleados, se encontraba desprotegido. Expertos de SOCRadar, una firma de ciberseguridad que analiza posibles vulnerabilidades en empresas, descubrieron que Microsoft olvidó configurar una contraseña. El servidor se encontraba alojado en la nube de Azure y cualquiera con acceso a internet pudo robar datos cruciales de la empresa.

Can Yoleri, uno de los investigadores, declaró que los datos ayudarían a los hackers a identificar posibles lugares en donde Microsoft almacena sus archivos internos. El servidor incluía archivos de configuración con credenciales de acceso, lo que daría pie a un robo de datos mayor. Afortunadamente, Yoleri y sus colegas avisaron a Microsoft y la empresa aseguró el contenido desde hace algunas semanas.

Por ahora no existe evidencia sobre un acceso no autorizado a este servidor. Tampoco se sabe cuánto tiempo permaneció abierto a todo público antes de que Microsoft cerrara la puerta. El gigante tecnológico no emitió un comunicado para informar sobre la situación y los pasos que siguieron para asegurar el contenido de sus empleados.

La noticia se da a unas semanas de que la empresa confirmara una intrusión de hackers rusos en sus servidores, quienes robaron código fuente de varios repositorios de Microsoft. Según los reportes, el grupo Nobelium, ligado al Kremlin, se hizo de varias cuentas de correo de altos ejecutivos e integrantes de los equipos de ciberseguridad, con las que accedieron información confidencial y código de productos.

Microsoft cometió el error más básico de seguridad: no utilizar una contraseña

Según los investigadores de seguridad de SOCRadar, el servidor de Microsoft contenía información de empleados para acceder a sistemas y bases de datos. Esta no es la primera vez que la empresa de Redmond sufre un tropezón. Hace un par de años, múltiples trabajadores expusieron en GitHub sus nombres de usuario y contraseñas.

Mossab Hussein, director de seguridad de la empresa de ciberseguridad spiderSilk, mencionó a Motherboard que las filtraciones accidentales de credenciales son difíciles de identificar de manera oportuna. «La fuga de código fuente y claves de acceso son parte de la superficie de ataque y es un tema muy desafiante para la mayoría de las empresas en estos días», mencionó.

El experto mostró a empleados que filtraron por error sus contraseñas para los servidores de Azure. Todas las claves estaban asociadas a un identificador único con el que cuentan los trabajadores de Microsoft. Si bien algunas ya no se encontraban activas, otras permitirían el acceso a otros sistemas dentro de la compañía.

Más adelante, Microsoft confirmó que fue hackeada por el grupo LAPSUS$, quien extrajo 37 GB de datos que incluían el código fuente de Cortana y Bing. Los atacantes consiguieron la información a través de una sola cuenta, pero fueron interceptados por el equipo de seguridad de Microsoft.

Con esta experiencia, es difícil pensar que Microsoft no tomara acciones para impedir un acceso no autorizado. Un servidor sin contraseña no deja en buenos términos la estrategia de seguridad de la compañía a futuro.