Hacker de 16 anos acede a 17 biliões de registos da Microsoft através de falha em token
Um jovem investigador de segurança obteve acesso administrativo ao serviço interno de análise da Microsoft devido a uma falha na validação de assinaturas, expondo dados de milhares de milhões de registos.
Hacker de 16 anos acede a 17 biliões de registos da Microsoft através de falha em token
Um hacker de 16 anos comprometeu o serviço interno de análise da Microsoft utilizando um token de autorização forjado e sem assinatura. Esta vulnerabilidade permitiu a execução de consultas SQL com privilégios administrativos.
O atacante ganhou acesso a bases de dados contendo mais de 17 biliões de linhas, incluindo análises de consultas de pesquisa do Bing e 17.990 registos com endereços de e-mail de funcionários corporativos.
O serviço, denominado Titan, validava todos os campos do token exceto a sua assinatura criptográfica. Segundo o investigador, que utiliza o pseudónimo Faav, bastava declarar-se como "admin" no token para obter acesso.
O hacker afirmou que apenas extraiu metadados e duas linhas individuais de dados do Bing, não tendo tocado em dados de clientes, e reportou a vulnerabilidade à Microsoft na mesma noite.
A Microsoft fechou o endpoint vulnerável quatro dias depois e pagou uma recompensa de 5.000 USD. No entanto, a empresa exerceu controlo editorial sobre a divulgação: certas secções, figuras e descrições da escala do impacto foram redigidas antes da publicação do material.
Por que isso importa
AnáliseEste incidente destaca os graves riscos da validação inadequada de tokens em sistemas internos e sublinha como erros de configuração podem expor conjuntos de dados massivos.
Debater na comunidade
Compartilhe suas dúvidas e insights com desenvolvedores
Relacionado no ecossistema
Guias práticos, terminologia essencial e skills de agentes
Microsoft AutoGen
Framework open-source líder da Microsoft para a criação de sistemas conversacionais multiagente. Permite integrar vários agentes de IA com diferentes papéis e habilidades em um chat de grupo (GroupChat), onde eles discutem, escrevem código, testam-no e colaboram para atingir objetivos de negócio.
GraphRAG: Knowledge Graphs in Search
An evolution of Microsoft Research's RAG architecture. It combines classic semantic vector search with a Knowledge Graph, where documents are transformed into entity nodes (people, companies, locations) and relationship edges between them, enabling answers to complex global questions across the entire data corpus.
Atacantes exploram vulnerabilidade SSHole no Alpine Linux para adicionar suas próprias chaves SSH
Atacantes estão explorando uma vulnerabilidade SSHole no Alpine Linux para acessar servidores sem senha e adicionar suas próprias chaves SSH aos usuários root e alpine.
Perfil Hermes: Diagnóstico e Otimização de Custos de Tokens
Perfil de otimização de contexto e custos de tokens Hermes: detecção de prompts inflados, configuração de cache e redução dos custos da API em 40-70%.