Comparitech descubre 250 millones de registros de Microsoft que quedan expuestos en línea
Empresa de investigación de seguridad Comparitech.com Recientemente descubrió 250 millones de registros de Microsoft que fueron expuestos en la web.
La forma específica que tomaron estos datos fueron los registros de soporte y servicio al cliente (CSS), que incluye direcciones de correo electrónico de clientes, direcciones IP y ubicaciones, así como descripciones de las reclamaciones y casos de CSS, y las direcciones de correo electrónico de los empleados de Microsoft.
El equipo de investigación dirigido por el investigador de seguridad Bob Diachenko descubrió cinco servidores Elasticsearch donde se almacenaba la información. Tras el descubrimiento, se hizo evidente que los datos cubrían un período de tiempo significativo, que abarcaba 14 años desde 2005 hasta diciembre de 2019, con registros completos de discusiones entre clientes y agentes internos de soporte de Microsoft.
El enorme caché de información no estuvo protegido durante aproximadamente dos días antes de que Comparitech pudiera alertar a Microsoft, quien luego aseguró los datos. Eric Doerr, gerente general de Microsoft expresó su gratitud, diciendo «Estamos agradecidos con Bob Diachenko por trabajar en estrecha colaboración con nosotros para poder solucionar rápidamente esta configuración incorrecta, analizar datos y notificar a los clientes según corresponda».
Esta no es la primera vez que se descubre a Microsoft desde una perspectiva de seguridad. La compañía también fue violada en 2013 cuando los piratas informáticos obtuvieron acceso a una base de datos secreta utilizada para rastrear peros en su software.
Si bien se eliminaron partes importantes de la PII de los registros, esto aún podría haber planteado problemas graves para los clientes de Microsoft. Esta infracción está hecha a medida para las estafas de soporte técnico, por ejemplo, que involucran a un ciberdelincuente que se hace pasar por un empleado de soporte. Estas estafas tienen éxito incluso sin la información relevante, por lo que la adición de problemas específicos de las personas con los productos de Microsoft sería de gran ayuda para los delincuentes que intentan este tipo de estafas.