Hacker de 16 anos acede a 17 biliões de registos da Microsoft através de falha em token
Um jovem investigador de segurança obteve acesso administrativo ao serviço interno de análise da Microsoft devido a uma falha na validação de assinaturas, expondo dados de milhares de milhões de registos.
Hacker de 16 anos acede a 17 biliões de registos da Microsoft através de falha em token
Um hacker de 16 anos comprometeu o serviço interno de análise da Microsoft utilizando um token de autorização forjado e sem assinatura. Esta vulnerabilidade permitiu a execução de consultas SQL com privilégios administrativos.
O atacante ganhou acesso a bases de dados contendo mais de 17 biliões de linhas, incluindo análises de consultas de pesquisa do Bing e 17.990 registos com endereços de e-mail de funcionários corporativos.
O serviço, denominado Titan, validava todos os campos do token exceto a sua assinatura criptográfica. Segundo o investigador, que utiliza o pseudónimo Faav, bastava declarar-se como "admin" no token para obter acesso.
O hacker afirmou que apenas extraiu metadados e duas linhas individuais de dados do Bing, não tendo tocado em dados de clientes, e reportou a vulnerabilidade à Microsoft na mesma noite.
A Microsoft fechou o endpoint vulnerável quatro dias depois e pagou uma recompensa de 5.000 USD. No entanto, a empresa exerceu controlo editorial sobre a divulgação: certas secções, figuras e descrições da escala do impacto foram redigidas antes da publicação do material.
Por que isso importa
AnáliseEste incidente destaca os graves riscos da validação inadequada de tokens em sistemas internos e sublinha como erros de configuração podem expor conjuntos de dados massivos.
Debater na comunidade
Compartilhe suas dúvidas e insights com desenvolvedores