Foto: Raymond Boyd/Getty Images
Microsoft ha avvertito migliaia di clienti della sua piattaforma di cloud, Azure, comprese alcune delle più grandi aziende del mondo, di una falla che potrebbe avere esposto i loro dati a potenziali malintenzionati. Questa vulnerabilità ha coinvolto oltre 3.300 aziende e il periodo in cui i dati sono rimasti esposti è stato particolarmente lungo: si parla infatti degli ultimi due anni. Il problema ha interessato il database centrale di Azure, Cosmos Db, il fulcro di tutto l’ecosistema cloud di Microsoft.
Tramite Cosmos Db si poteva accedere alle chiavi di controllo dell’accesso ai database detenuti da migliaia di aziende. Chi si fosse introdotto lì avrebbe avuto la possibilità di leggere, modificare e persino eliminare i dati delle aziende clienti. Visto che Microsoft non può modificare da sola quelle chiavi, ieri ha inviato un’email ai clienti dicendo loro di crearne di nuove. La falla è stata scoperta da un team di ricerca della società di sicurezza Wiz. Microsoft ha chiuso la falla 48 ore dopo la segnalazione da parte dei ricercatori, ricompensandoli con un premio di 40mila dollari.
Il difetto, ha spiegato Wiz, era in uno strumento di visualizzazione chiamato Jupyter Notebook, disponibile da anni ma abilitato per impostazione predefinita in Cosmos a partire dallo scorso febbraio. Microsoft ha dichiarato che non ci sono prove che la vulnerabilità sia stata effettivamente sfruttata da qualcuno, ma il solo fatto che questo sia stato possibile per un periodo così lungo non avrà fatto sicuramente piacere ai clienti della compagnia.
Il responsabile tecnologico di Wiz, Ami Luttwak, che in precedenza ha lavorato anche per Microsoft, ha dichiarato a Reuters l’ha bollata come “la peggiore vulnerabilità del cloud che si possa immaginare”, spiegando che dal database centrale si poteva accedere facilmente a tutti gli altri.
Ultimamente Microsoft è stata protagonista di altri episodi di violazioni informatiche. Alcuni criminali, presumibilmente riconducibili a gruppi russi, a febbraio avevano rubato parte del codice sorgente di Microsoft. La scorsa settimana il governo degli Stati Uniti ha pubblicato un avviso affinché i clienti di Exchange installassero le patch rilasciate mesi fa perché bande di criminali stavano sfruttando un errore nel client di posta elettronica.
La vulnerabilità di Azure però desta particolari preoccupazioni perché, anche se gli attacchi ai cloud sono più rari, quando si verificano sono particolarmente gravi. Inoltre, sempre più aziende stanno abbandonando i server fisici in favore del cloud, spinti da esperti e dalla stessa Microsoft in nome di una maggiore sicurezza dei dati.
Ironia della sorte, il giorno prima dell’avviso di Microsoft ai clienti sui rischi di esposizione dei dati, le principali aziende tecnologiche del mondo si sono impegnate a lavorare sulla sicurezza informatica in seguito a un incontro alla Casa Bianca con il presidente Joe Biden. Microsoft in particolare ha promesso di investire 20 miliardi in 5 anni per migliorare questo aspetto.
The post Una falla nella piattaforma cloud di Microsoft ha messo a rischio i dati di migliaia di clienti appeared first on Wired.
Link originale...