Il nuovo, inquietante caso di insicurezza nei server del cloud coinvolge Microsoft, e riguarda potenzialmente centinaia di milioni di utenti che si sono rivolti alla corporation di Redmond tramite il servizio di supporto ufficiale (Customer Service and Support). Un servizio che a quanto pare utilizzava database privi di qualsivoglia misura di sicurezza.
Comparitech ha infatti scoperto (nel dicembre del 2019) l’esistenza di cinque diversi database in formato Elasticsearch pubblicamente accessibili da chiunque, ciascuno contenente lo stesso set di informazioni riferito a 250 milioni di record scaturiti dalle attività del servizio CSS.
Anche se buona parte delle informazioni personali risultava illeggibile, dicono i ricercatori, altri tipi di dati assolutamente sensibili come e-mail, indirizzi IP, location geografiche e altro ancora erano perfettamente leggibili da parte di chiunque anche grazie all’indicizzazione a opera del motore di ricerca BinaryEdge.
I dati “nudi” di Microsoft CSS evidenziano ancora una volta il grave problema dei database Elasticsearch non protetti e facili da indicizzare, e secondo Comparitech non esistono al momento conferme (o smentite) circa l’accesso da parte di soggetti malintenzionati o comunque non autorizzati.
I ricercatori hanno contattato subito il team di Microsoft, che almeno questa volta ha provveduto a mettere in sicurezza i server nel giro di 24 ore. La corporation ora spiega che l’origine del problema va fatta risalire a una modifica approntata alla sicurezza di rete il 5 dicembre, assicurando inoltre che i “servizi cloud commerciali” non sono stati esposti in alcun modo nella breccia.