Microsoft filtró por error las contraseñas y más de 30.000 mensajes de sus trabajadores

Una cantidad considerable de valiosa información confidencial de empleados de Microsoft fue filtrada por error por un equipo de desarrolladores de inteligencia artificial de la compañía fundada por Bill Gates cuando estos trataban de compartir su trabajo.

Así lo reconoció la misma tecnológica que aclaró que “no se expusieron datos de clientes y ningún otro servicio interno se puso en riesgo debido a este problema. No se requiere ninguna acción del cliente en respuesta a este problema”. Esto advirtiendo que “compartiremos la experiencia y lo aprendido para que nuestros clientes estén informados y puedan evitar incurrir en incidentes como este en el futuro”.

Y pese a que Microsoft parece no haberle dado mayor trascendencia, las preocupaciones no son menores debido a que se trataba de un paquete que guardaba 38 terabytes con datos internos, con copias de seguridad de los perfiles de trabajo de los empleados de la empresa, contraseñas de servicios y más de 30.000 mensajes internos enviados a través de la herramienta de mensajería Teams.

Una plataforma frecuentemente utilizada para trasladar observaciones pormenorizadas sobre el trabajo que se desarrolla, por lo que estos mensajes únicamente deben estar disponibles para los trabajadores de la firma.

Cómo ocurrió la filtración

Microsoft detalla que su equipo estaba intentando compartir en GitHub datos open-source con los que entrenar modelos de IA, algo habitual en el sector. Y Wiz, una compañía de ciberseguridad, descubrió que los desarrolladores incluyeron por accidente un acceso a estos 38 Terabytes de datos, que se encontraban entre la documentación que los expertos subieron al repositorio.

Los investigadores de la compañía de software aceptaron que se podían descargar los datos con los que entrenar modelos de IA a través de un enlace. Esta información estaba alojada en la nube, pero el enlace no estaba bien configurado debido a que los visitantes podían acceder, no solo a esos datos, sino a todo lo que estaba almacenado en ese servicio.

El fallo se vinculó a la exposición de datos, al uso de un token de acceso compartido muy permisivo, que permitía tener un control total de los datos y Wiz informó del problema a Microsoft en junio pasado, lo que invalidó el enlace dos días después. Sin embargo, ambas empresas decidieron revelar la situación hace apenas unas horas.

El riesgo es latente

El hallazgo se da a conocer justo después de que la propia Microsoft compartió sus hallazgos sobre ciberdelincuentes chinos, quienes lograron atacarlos gracias a que uno de sus sistemas cayó en 2021 y durante el proceso de restauración una captura filtró accidentalmente una clave.

Esta contraseña permitió a los asaltantes, bautizados como Storm-0558, simular una sesión de ingeniero de la firma, lo que les dio acceso a cuentas de agencias federales de los Estados Unidos.

La compañía también denunció que ciberdelincuentes respaldados por Irán llevaron a cabo una serie de ataques cibernéticos dirigidos hacia empresas farmacéuticas, de defensa y de satélites en Estados Unidos y en varias partes del mundo. Además, alertó que estos atacantes lograron infiltrarse con éxito en miles de organizaciones que han sido blanco de sus ataques.

Según Microsoft, estos ciberdelincuentes utilizaron una técnica de piratería altamente efectiva, lo que resalta la determinación de los grupos de hackers con sede en Teherán para acceder a información de inteligencia valiosa y “desde febrero de 2023, se ha observado actividad de pulverización de contraseñas contra miles de organizaciones llevada a cabo por un actor al que rastreamos como Peach Sandstorm”.

Y aunque resulta complicado determinar las motivaciones precisas detrás de los ataques cibernéticos a estas compañías, las sanciones económicas impuestas contra la nación islámica han aumentado el incentivo para que busque secretos comerciales pertenecientes a empresas extranjeras, según lo explicó Sherrod DeGrippo, director de estrategia de inteligencia de amenazas de Microsoft.