Microsoft heeft gefaald om 250 miljoen klantondersteuningslogboeken te beschermen

Het ziet er misschien niet zo uit, maar grote technische reuzen zitten nooit stil. Soms zijn de wijzigingen onzichtbaar voor miljoenen gebruikers, maar achter de schermen werken IT-bedrijven hun interne procedures voortdurend bij en passen ze aan om een gestroomlijnde, soepele werking te garanderen. We moeten echter niet vergeten dat het implementeren van zelfs kleine aanpassingen een ingewikkeld proces is en dat fouten kunnen voorkomen. Helaas heeft Microsoft ons gisteren laten zien dat wanneer dingen fout gaan, de gevolgen vaak behoorlijk angstaanjagend zijn.

Het begon allemaal op 28 december 2019, toen de zoekmachine voor bedreigingsinformatie BinaryEdge een cluster van vijf Elasticsearch-servers indexeerde, die allemaal een identieke verzameling van 250 miljoen records bevatten. Binnen een dag ontdekte beveiligingsonderzoeker Bob Diachenko de servers en realiseerde zich dat ze niet werden beschermd door enige vorm van authenticatie. Diachenko werkte samen met onderzoekers van Comparitech die hem hielpen tot de conclusie te komen dat de database van Microsoft was. De maker van 's werelds populairste besturingssysteem werd onmiddellijk op de hoogte gebracht, en een dag later waren de servers al offline. Nadat de gegevens waren beveiligd, begon het Security Response Team van Microsoft een onderzoek en gisteren vertelden ze iedereen wat er was gebeurd.

Microsoft heeft miljoenen ondersteuningslogboeken gelekt

De 250 miljoen records waren in feite ondersteunende logboeken die tussen 2005 en december 2019 dateren. Het is een enorme verzameling gegevens over een enorm tijdsbestek. Gelukkig zullen de mensen die in die periode hun toevlucht hebben moeten nemen tot het klantenservice-team van Microsoft, blij zijn te horen dat de meeste inzendingen geen persoonlijk identificeerbare informatie bevatten. Microsoft om hulp vragen, omvat meestal het presenteren van uw e-mailadres en soms andere contactgegevens, maar de in Redmond gevestigde gigant heeft daadwerkelijk nagedacht over de privacy van zijn klanten en heeft mechanismen geïmplementeerd die persoonlijke informatie automatisch redigeren voordat deze op een server wordt opgeslagen. Deze mechanismen zijn echter niet onfeilbaar.

Informatie ingevoerd in een niet-herkend formaat zou de anonimisatieprocedure omzeilen, wat betekent dat e-mailadressen met spaties erin bijvoorbeeld niet zouden worden geredigeerd. De beveiligingsexperts van Microsoft zeiden dat, hoewel ze geen bewijs hebben gezien van "kwaadwillig gebruik" van de gegevens, ze bezig zijn gebruikers te informeren die kunnen worden getroffen.

Het feit dat de database weinig persoonlijke gegevens blootlegde, is goed nieuws, maar het lek mag niet worden onderschat. Naast de meestal onduidelijke persoonlijke informatie, bevatten de Elasticsearch-servers de IP-adressen en locatie-informatie van gebruikers, evenals gegevens met betrekking tot de status en aard van de ondersteuningsgevallen die ze bij Microsoft hebben geopend. De e-mailadressen van de ondersteuningsmedewerkers van Microsoft zijn ook in platte tekst opgeslagen. Al met al was er voldoende informatie voor een gemotiveerde hacker om een gerichte aanval uit te voeren die behoorlijk desastreuze gevolgen had kunnen hebben.

Hoe zijn de gegevens zichtbaar geworden en hoe heeft Microsoft het probleem aangepakt?

Bob Diachenko was onder de indruk van het Security Response Team van Microsoft en de snelle reactie in het licht van het feit dat de melding uren voor oudejaarsavond werd verzonden. De OS-verkoper verdient ook een schouderklopje voor de transparantie waarmee hij de gebeurtenissen in de aanloop naar het incident heeft beschreven.

Op 5 december bracht het backend-team van Microsoft enkele wijzigingen aan in de netwerkbeveiligingsgroep die de database hostte en merkte het niet op dat de update een configuratiefout bevatte. In het rapport van gisteren wezen Ann Johnson, Corporate Vice President van Microsoft's Cybersecurity Solutions Group en Eric Doerr, General Manager van het Security Response Center van Microsoft, erop dat ze mechanismen hebben die gewoonlijk datalekken als gevolg van dit soort foutieve configuratiefouten zouden voorkomen. Voor deze specifieke database waren ze echter niet ingeschakeld.

Al met al werd het lek veroorzaakt door een ongelukkige reeks gebeurtenissen en uiteindelijk heeft het geen grote schade aangericht, wat betekent dat we allemaal opgelucht kunnen ademen. We moeten het gevaar echter niet onderschatten.

Microsoft zei dat het een aantal voorzorgsmaatregelen heeft genomen om ervoor te zorgen dat dit niet meer gebeurt, en we denken dat andere bedrijven die de persoonlijke gegevens van gebruikers verwerken, dit moeten volgen. Het feit is dat informatielekken veroorzaakt door verkeerd geconfigureerde Elasticsearch-databases een alledaags verschijnsel worden en mensen lijken er geen acht op te slaan. Dit is zorgwekkend, want hoewel Microsoft de persoonlijke gegevens van gebruikers anonimiseert (althans wanneer deze in het ondersteuningssysteem zijn ingevoerd), doen anderen dat niet.