Z nowego raportu amerykańskiej komisji ds. przeglądu bezpieczeństwa cybernetycznego wynika, że Microsoft mógł zapobiec W zeszłym roku chińscy hakerzy włamali się do wiadomości e-mail rządu USA za pośrednictwem oprogramowania Microsoft Exchange Online. Incydentopisywana jako „kaskada błędów bezpieczeństwa” w firmie Microsoft, umożliwiła sponsorowanym przez państwo chińskie hakerom dostęp do skrzynek e-mail w Internecie 22 organizacji, co dotknęło ponad 500 osób, w tym pracowników rządu USA pracujących nad bezpieczeństwem narodowym.
Departament Bezpieczeństwa Wewnętrznego Stanów Zjednoczonych (DHS) opublikował zjadliwy raport w którym stwierdzono, że włamaniu można było „zapobiec” i że szereg decyzji podejmowanych w Microsoft przyczyniło się do powstania „kultury korporacyjnej, która pozbawiła priorytet inwestycji w bezpieczeństwo przedsiębiorstwa i rygorystycznego zarządzania ryzykiem”.
Hakerzy wykorzystali klucz klienta zdobyty do konta Microsoft (MSA) do sfałszowania tokenów umożliwiających dostęp do aplikacji Outlook w sieci Web (OWA) i Outlook.com. Z raportu jasno wynika, że Microsoft nadal nie jest pewien Dokładnie jak klucz został skradziony, ale wiodąca teoria jest taka, że klucz był częścią wysypiska awaryjnego. Microsoft opublikował tę teorię we wrześniu i niedawno zaktualizował swój wpis na blogu przyznać, że „nie znaleźliśmy zrzutu awaryjnego zawierającego kluczowy materiał, którego dotyczy problem”.
Bez dostępu do tego zrzutu awaryjnego Microsoft nie może być pewien, w jaki sposób klucz został skradziony. „Nasza wiodąca hipoteza pozostaje taka, że błędy operacyjne spowodowały, że kluczowy materiał opuścił bezpieczne środowisko podpisywania tokenów, do którego następnie uzyskano dostęp w środowisku debugowania za pośrednictwem zhakowanego konta inżynierskiego” – czytamy w zaktualizowanym poście na blogu firmy Microsoft.
W listopadzie Microsoft przyznał przed Komisją ds. Przeglądu Bezpieczeństwa Cybernetycznego, że jego wrześniowy wpis na blogu był niedokładny, ale został poprawiony dopiero kilka miesięcy później, 12 marca, „po wielokrotnych pytaniach Zarządu dotyczących planów Microsoftu dotyczących wydania sprostowania”. Chociaż Microsoft w pełni współpracował podczas dochodzenia prowadzonego przez zarząd, wniosek jest taki, że kultura bezpieczeństwa Microsoftu wymaga gruntownej zmiany.
„Zarząd stwierdza, że temu włamaniu można było zapobiec i nigdy nie powinno do niego dojść” – stwierdziła Komisja ds. przeglądu bezpieczeństwa cybernetycznego. „Zarząd stwierdza również, że kultura bezpieczeństwa Microsoftu była nieodpowiednia i wymaga gruntownej zmiany, szczególnie w świetle centralnego miejsca firmy w ekosystemie technologicznym oraz poziomu zaufania, jakim klienci darzą firmę w zakresie ochrony swoich danych i operacji”.
Ustalenia zarządu pojawiają się w tym samym tygodniu, co Microsoft uruchomił Copilot for Security, chatbot oparty na sztucznej inteligencji, przeznaczony dla specjalistów ds. cyberbezpieczeństwa. Microsoft pobiera od firm opłatę w wysokości 4 dolarów za godzinę użytkowania w ramach modelu konsumpcyjnego w celu uzyskania dostępu do najnowszego narzędzia sztucznej inteligencji, podczas gdy firma zmaga się z ciągłym atakiem hakerów sponsorowanych przez rosyjskie państwo.
Nobelium, ta sama grupa, która stoi za Atak SolarWindsudało się szpiegować niektórych Skrzynki e-mailowe dla kadry kierowniczej firmy Microsoft od miesięcy. To początkowe włamanie doprowadziło również do kradzieży części kodu źródłowego Microsoftu, a Microsoft niedawno przyznał, że grupa ta uzyskał dostęp do kodu źródłowego firmy repozytoria i systemy wewnętrzne.
Microsoft teraz próbuje to zrobić dokonać przeglądu zabezpieczeń oprogramowania po naruszeniu e-maili rządu USA w zeszłym roku i podobne ataki cyberbezpieczeństwa w ostatnich latach. Nowa inicjatywa Microsoft Secure Future Initiative (SFI) ma na celu zmianę sposobu projektowania, budowania, testowania i obsługi oprogramowania i usług. To największa zmiana w wysiłkach firmy Microsoft w zakresie bezpieczeństwa od czasu wprowadzenia przez firmę cyklu życia oprogramowania Security Development (SDL) w 2004 r. po niszczycielskim robaku Blaster, który w 2003 r. uderzył w komputery z systemem Windows XP w trybie offline.