Microsoft no ha podido proteger 250 millones de registros de asistencia al cliente

Puede que no lo parezca, pero los grandes gigantes tecnológicos nunca se quedan quietos. A veces, los cambios son invisibles para los millones de usuarios, pero detrás de escena, las compañías de TI actualizan y modifican constantemente sus procedimientos internos para garantizar una operación ágil y sin problemas. Sin embargo, no debemos olvidar que implementar incluso pequeños ajustes es un proceso complicado y pueden ocurrir errores. Desafortunadamente, Microsoft nos mostró ayer que cuando las cosas salen mal, las consecuencias son a menudo bastante aterradoras.

Todo comenzó el 28 de diciembre de 2019, cuando el motor de búsqueda de inteligencia de amenazas BinaryEdge indexó un grupo de cinco servidores Elasticsearch, que tenían una colección idéntica de 250 millones de registros. En un día, el investigador de seguridad Bob Diachenko descubrió los servidores y se dio cuenta de que no estaban protegidos por ninguna forma de autenticación. Diachenko se asoció con investigadores de Comparitech que lo ayudaron a llegar a la conclusión de que la base de datos pertenecía a Microsoft. El fabricante del sistema operativo más popular del mundo fue notificado de inmediato, y un día después, los servidores ya estaban fuera de línea. Después de proteger los datos, el Equipo de Respuesta de Seguridad de Microsoft comenzó una investigación, y ayer, les contaron a todos lo que sucedió.

Microsoft filtró millones de registros de soporte

Los 250 millones de registros en realidad eran registros de soporte con fecha entre 2005 y diciembre de 2019. Es una vasta colección de datos que abarca un marco de tiempo enorme. Afortunadamente, las personas que han tenido que recurrir al equipo de servicio al cliente de Microsoft durante ese período estarán felices de saber que la mayoría de las entradas no contenían información de identificación personal. Pedir ayuda a Microsoft generalmente implica presentar su dirección de correo electrónico y, en ocasiones, otros detalles de contacto, pero el gigante con sede en Redmond realmente ha pensado en la privacidad de sus clientes y ha implementado mecanismos que redactan automáticamente la información personal antes de almacenarla en un servidor. Sin embargo, estos mecanismos no son infalibles.

La información ingresada en un formato no reconocido pasaría por alto el procedimiento de anonimato, lo que significa que las direcciones de correo electrónico con espacios en ellas, por ejemplo, no serían eliminadas. Los expertos en seguridad de Microsoft dijeron que aunque no han visto evidencia de "uso malicioso" de los datos, están en el proceso de informar a los usuarios que podrían verse afectados.

El hecho de que la base de datos haya expuesto pocos datos personales es una buena noticia, pero la filtración no debe subestimarse. Además de la información personal en su mayoría ofuscada, los servidores Elasticsearch contenían las direcciones IP de los usuarios y la información de ubicación, así como datos relacionados con el estado y la naturaleza de los casos de soporte que han abierto con Microsoft. Las direcciones de correo electrónico de los agentes de soporte de Microsoft también se almacenaron en texto sin formato. Con todo, había suficiente información para que un hacker motivado lanzara un ataque dirigido que podría haber tenido consecuencias bastante desastrosas.

¿Cómo quedaron expuestos los datos y cómo manejó Microsoft el problema?

Bob Diachenko quedó impresionado con el equipo de respuesta de seguridad de Microsoft y la rápida reacción a la luz del hecho de que la notificación se envió horas antes de la víspera de Año Nuevo. El proveedor del sistema operativo también merece una palmada en la espalda por la transparencia con la que describió los eventos que condujeron al incidente.

El 5 de diciembre, el equipo de backend de Microsoft realizó algunos cambios en el grupo de seguridad de red que alojaba la base de datos y no notó que había un error de configuración en la actualización. En el informe de ayer, Ann Johnson, Vicepresidenta Corporativa del Grupo de Soluciones de Seguridad Cibernética de Microsoft y Eric Doerr, Gerente General del Centro de Respuesta de Seguridad de Microsoft, señalaron que tienen mecanismos establecidos que generalmente evitarían fugas de datos causadas por este tipo de error de configuración incorrecta. Sin embargo, para esta base de datos en particular, no estaban activados.

En general, la fuga fue causada por una desafortunada cadena de eventos, y finalmente no pudo causar ningún daño importante, lo que significa que todos podemos respirar aliviados. Sin embargo, no debemos subestimar el peligro.

Microsoft dijo que se han tomado una serie de precauciones para garantizar que esto no vuelva a ocurrir, y consideramos que otras compañías que procesan los datos personales de los usuarios deben seguir el ejemplo. El hecho es que las filtraciones de información causadas por bases de datos Elasticsearch mal configuradas se están convirtiendo en un hecho cotidiano, y las personas no parecen darse cuenta. Esto es preocupante porque aunque Microsoft anonimiza la información personal de los usuarios (al menos cuando se ingresa en el sistema de soporte), otros no lo hacen.