Un hacker de 16 años accede a 17 billones de registros de Microsoft por fallo en token
Un adolescente comprometió un servicio interno de Microsoft usando un token no firmado, obteniendo acceso administrativo a datos masivos.
Un hacker de 16 años accede a 17 billones de registros de Microsoft por fallo en token
Un hacker de 16 años comprometió el servicio de análisis interno de Microsoft utilizando un token de autorización falsificado y sin firmar. Esta vulnerabilidad le permitió ejecutar consultas SQL con privilegios de administrador.
El atacante accedió a bases de datos que contenían más de 17 billones de filas, incluyendo análisis de consultas de búsqueda de Bing y 17.990 registros con correos electrónicos corporativos de empleados.
El servicio, llamado Titan, validaba todos los campos del token excepto su firma criptográfica. Según el investigador, conocido como Faav, fue suficiente indicar simplemente que era «admin» para obtener acceso.
El hacker afirmó que solo extrajo metadatos y dos filas individuales de datos de Bing, no tocó los datos de los clientes e informó a Microsoft sobre la vulnerabilidad esa misma noche.
Microsoft cerró el endpoint vulnerable cuatro días después y pagó una recompensa de $5.000. Sin embargo, la empresa tuvo control editorial sobre la publicación: se eliminaron ciertas secciones y cifras, y se modificaron las descripciones sobre la escala del impacto antes de que el material fuera publicado.
Por qué es importante
AnálisisEste incidente demuestra el riesgo crítico de una validación incorrecta de tokens en sistemas internos.
Debatir en la comunidad
Comparte tus preguntas e ideas con desarrolladores
Relacionado en el ecosistema
Guías prácticas, terminología y skills de agentes
Microsoft AutoGen
Marco de trabajo abierto líder de Microsoft para crear sistemas de conversación multiagente. Permite combinar múltiples agentes de IA con diferentes roles y habilidades en un chat grupal (GroupChat), donde discuten, escriben código, lo prueban y alcanzan objetivos comerciales en conjunto.
Gráficos de Conocimiento en Búsqueda (GraphRAG)
Evolución de la arquitectura RAG de Microsoft Research. Combina la búsqueda semántica clásica basada en vectores con un gráfico de conocimiento, donde los documentos se transforman en nodos de entidades (personas, empresas, ubicaciones) y aristas de relaciones entre ellos, permitiendo responder a preguntas globales complejas a través de todo el conjunto de datos.
Atacantes explotan la vulnerabilidad SSHole en Alpine Linux para añadir claves SSH propias
Los atacantes están aprovechando una vulnerabilidad SSHole en Alpine Linux para acceder a servidores sin contraseña y añadir sus propias claves SSH a los usuarios root y alpine.
Perfil Hermes: Diagnóstico y Optimización de Costes de Tokens
Perfil de auditoría de contexto y optimización de tokens de Hermes: detección de prompts inflados, configuración de caché y reducción de costes de API del 40 al 70%.