Descubrimiento de Hackers Éticos: Fuga de 38TB de Datos Internos de Microsoft a través de Azure Storage

Microsoft ha solucionado una vulnerabilidad que puso en peligro 38TB de datos privados de su división de investigación en IA. Hackers éticos de la compañía de seguridad en la nube Wiz descubrieron un enlace compartible basado en tokens del Azure Statistical Analysis System el 22 de junio de 2023. Los hackers lo informaron al Centro de Respuesta de Seguridad de Microsoft, que invalidó el token SAS antes del 24 de junio y reemplazó el token en la página de GitHub donde se encontraba originalmente, el 7 de julio.

Saltos:

• Los tokens SAS, una característica de intercambio de archivos de Azure, habilitaron esta vulnerabilidad
• Lo que las empresas pueden aprender de la filtración de datos de Microsoft

Los tokens SAS, una característica de intercambio de archivos de Azure, habilitaron esta vulnerabilidad

Los hackers descubrieron inicialmente la vulnerabilidad mientras buscaban contenedores de almacenamiento mal configurados en Internet. Los contenedores de almacenamiento mal configurados son una conocida puerta trasera para acceder a datos alojados en la nube. Los hackers encontraron robust-models-transfer, un repositorio de código abierto y modelos de inteligencia artificial para reconocimiento de imágenes utilizados por la división de investigación en IA de Microsoft.

La vulnerabilidad se originó a partir de un token Shared Access Signature (SAS) de una cuenta interna de almacenamiento. Un empleado de Microsoft compartió un URL de un Blob store (un tipo de almacenamiento de objetos en Azure) que contenía un conjunto de datos de IA en un repositorio público de GitHub mientras trabajaba en modelos de aprendizaje de inteligencia artificial de código abierto. A partir de ahí, el equipo de Wiz utilizó el URL mal configurado para adquirir permisos de acceso a toda la cuenta de almacenamiento.

Cuando los hackers de Wiz siguieron el enlace, pudieron acceder a un repositorio que contenía copias de seguridad de discos de dos antiguos perfiles de empleados y mensajes internos de Microsoft Teams. El repositorio contenía 38TB de datos privados, secretos, claves privadas, contraseñas y datos de entrenamiento de inteligencia artificial de código abierto.

Los tokens SAS no caducan, por lo que normalmente no se recomienda compartir datos importantes externamente. Una publicación de seguridad de Microsoft del 7 de septiembre señaló que "los atacantes pueden crear un token SAS con privilegios altos y con largo vencimiento para preservar credenciales válidas durante mucho tiempo".

Protección antivirus en línea: McAfee Clinic lleva la seguridad de tu PC al siguiente nivel

Microsoft señaló que no se incluyeron datos de clientes en la información expuesta y que no existe riesgo de que otros servicios de Microsoft se vean comprometidos debido al conjunto de datos de IA.

Lo que las empresas pueden aprender de la filtración de datos de Microsoft

Este caso no se limita al hecho de que Microsoft estaba trabajando en el entrenamiento de IA; cualquier conjunto de datos de código abierto muy grande podría compartirse de esta manera. Sin embargo, Wiz señaló en su publicación de blog: "Los investigadores recopilan y comparten una cantidad masiva de datos externos e internos para construir la información de entrenamiento necesaria para sus modelos de IA. Esto plantea riesgos de seguridad inherentes asociados con el intercambio de datos a gran escala".

Wiz sugirió que las organizaciones que buscan evitar incidentes similares deberían advertir a los empleados sobre el exceso de intercambio de datos. En este caso, los investigadores de Microsoft podrían haber trasladado el conjunto de datos de IA público a una cuenta de almacenamiento dedicada.

Las organizaciones deben estar alerta ante los ataques de la cadena de suministro, que pueden ocurrir si los atacantes inyectan código malicioso en archivos que están abiertos al acceso público debido a permisos incorrectos.

"A medida que vemos una mayor adopción de modelos de IA dentro de las empresas, es importante crear conciencia sobre los riesgos de seguridad relevantes en cada etapa del proceso de desarrollo de IA y asegurarse de que el equipo de seguridad trabaje en estrecha colaboración con los equipos de ciencia de datos e investigación para definir salvaguardas adecuadas", escribió el equipo de Wiz en su publicación de blog.

Cómo proteger tu computadora de los virus: métodos y consejos

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Descubrimiento de Hackers Éticos: Fuga de 38TB de Datos Internos de Microsoft a través de Azure Storage , tenemos lo ultimo en tecnología 2023.