El jove va fer servir una IA pròpia per trobar la fallada, el seu objectiu era provar la seva eina, no atacar l’empresa

Un investigador de seguretat de 16 anys ha revelat que una vulnerabilitat a Titan, un servei intern d’anàlisi de Microsoft, podria haver permès que un atacant accedís als registres dels empleats i a les dades analítiques de les cerques a Bing.

Aquest hacker, conegut com a Faav, va descobrir, mitjançant una IA que busca errors dissenyada per ell mateix, que Titan no verificava la signatura dels tokens d’inici de sessió. Això li va permetre fer-se passar per l’administrador del servei i executar consultes a 17 bases de dades connectades que contenien aproximadament 17,3 bilions de fileres.

Segons explica, va estar més de 10 dies treballant per accedir a aquests arxius, «Antares no hauria arribat fins aquí per si sol, i jo tampoc. La seva perseverança, sumada a un pressentiment humà, és el que ha fet possible aquesta troballa.»

La base de dades de la plataforma de Titan contenia aproximadament 25.000 entrades de comptes i adreces de correu electrònic, 17.990 registres de correu electrònic de treballadors i 15.001 registres de l’estructura organitzativa dels treballadors, segons el hacker. La informació sobre els empleats incloïa els càrrecs, els departaments i la jerarquia directiva del personal vinculat a Titan.

Va assenyalar que això abastava part de la plantilla de Microsoft i que podria haver ajudat un atacant a dissenyar intents d’atacs de pesca dirigits, cosa que ell no va provar de fer-ho. L’adolescent també va accedir a una font d’anàlisi de Bing i va extreure dues mostres d’una sola filera de la darrera partició. Aquestes contenien camps de cerca, identificador i ubicació.

Per sort, la seva intenció no era la de piratejar i robar informació de Microsoft per a futurs ciberatacs, sinó la de provar l’eina que havia dissenyat. Per aquesta raó, va informar el 5 de setembre passat al Centre de Resposta de Seguretat de Microsoft (MSRC) dels seus descobriments, que el van recompensar amb 5.000 dòlars pel descobriment de la fallada.

El hacker recalca en el seu escrit que mai no va tenir accés a les dades dels clients ni a la informació d’identificació personal (PII), i que no va fer servir les dues mostres de Bing per identificar ningú, vincular registres entre conjunts de dades ni crear perfils.