Investigadores de seguridad descubren una exposición accidental de 38 TB de datos de Microsoft. El incidente está relacionado con un equipo de investigación de inteligencia artificial de la compañía y una configuración incorrecta en Azure Storage.
El problema se produce mientras Microsoft comparte modelos de inteligencia artificial a través de un repositorio público de GitHub. Un enlace configurado con permisos demasiado amplios permite acceder a mucha más información de la prevista.
Cómo quedaron expuestos los datos de Microsoft
El origen del problema se encuentra en un token SAS (Shared Access Signature) de Azure Storage. Este sistema permite conceder acceso a determinados recursos almacenados en Azure sin compartir directamente las credenciales de una cuenta.
Sin embargo, el token utilizado por el equipo de Microsoft permite acceder a toda una cuenta de almacenamiento. Además, los permisos no se limitan a la lectura, sino que también permiten realizar otras operaciones sobre los archivos.
Como consecuencia, el enlace publicado para compartir modelos de inteligencia artificial deja accesibles alrededor de 38 TB de información privada.
Qué información quedó expuesta
Los archivos accesibles no se limitan a los modelos de inteligencia artificial que Microsoft quiere compartir públicamente. Los investigadores encuentran también copias de seguridad de estaciones de trabajo de empleados.
Entre la información expuesta se encuentran:
- Copias de seguridad de equipos.
- Credenciales y claves privadas.
- Contraseñas de servicios internos.
- Más de 30.000 mensajes internos de Microsoft Teams.
El incidente no se debe a una intrusión directa en los sistemas de Microsoft. La información queda accesible debido a los permisos asociados al almacenamiento en Azure.
Wiz detecta la exposición y avisa a Microsoft
La empresa de ciberseguridad Wiz descubre el problema durante una investigación sobre la exposición de datos en repositorios de inteligencia artificial.
Tras detectar el enlace, los investigadores informan a Microsoft. La compañía revoca el token SAS que permite acceder a los archivos y corrige el problema.
Microsoft señala que su investigación no encuentra indicios de que los datos de clientes hayan quedado expuestos ni de que otros servicios internos estén en riesgo como consecuencia del incidente.
La importancia de controlar los permisos en la nube
El caso muestra los riesgos de conceder permisos más amplios de los necesarios al compartir recursos almacenados en la nube. Un enlace creado para facilitar el acceso a unos archivos concretos puede terminar exponiendo información adicional si no se configura correctamente.
Para reducir este riesgo, es recomendable aplicar el principio de mínimo privilegio. Cada usuario, aplicación o enlace debe disponer únicamente de los permisos necesarios para realizar su función.
También conviene limitar la duración de los accesos, revisar periódicamente los recursos compartidos y evitar almacenar credenciales junto a información que pueda hacerse pública.
Este tipo de medidas cobra especial importancia en proyectos de inteligencia artificial, donde pueden manejarse grandes cantidades de datos y recursos alojados en servicios cloud.
Fuente original: ADSLZone.