Sans le savoir, Microsoft a donné accès pendant presque 3 ans à 38 To de données internes privées via un simple lien sur GitHub. Les autorisations associées étaient trop larges.

Oups, la boulette. Voilà ce qu'a dû se dire un employé de Microsoft après les révélations de la startup Wiz, spécialisée dans la cybersécurité du cloud. Pas question de piratage comme celui de Microsoft Teams cependant. Elle a découvert que depuis 2020, un dépôt GitHub du service IA de Microsoft donnait accès à 38 To de données privées de l'entreprise. Oui, c'est bien de Téraoctets qu'il s'agit. Rappelons d'abord que GitHub est un site d'hébergement open source qui permet aux développeurs de partager le code de leurs projets. Un dépôt est un dossier qui contient les fichiers de ces derniers.

Que s'est-il passé avec l'un des dépôts de Microsoft ? Celui qui nous intéresse contient des modèles d'intelligence artificielle pour la reconnaissance d'images. Ceux qui y accèdent doivent télécharger ces modèles en utilisant le lien fourni, qui renvoie à la plate-forme de cloud computing Azure de Microsoft. Le souci était que l'URL en question était configurée de manière à donner accès à tout le système de stockage. Les utilisateurs pouvaient donc voir de très nombreuses données sensibles.

Pendant 3 ans, Microsoft a laissé l'accès libre à des milliers de données internes

Dans les 38 To d'informations accessibles, il y avait des mots de passe, des clés de sécurité, plus de 30 000 messages internes sur Teams, et même la sauvegarde des PC personnels de deux employés. Depuis 2020 tout de même, l'adresse Web était en mode “Contrôle total” au lieu de “Lecture seule”. Cela veut dire que n'importe qui pouvait en théorie effacer des données, les remplacer ou ajouter des programmes dangereux comme des malwares.

Lire aussi – Des pirates se font passer pour Microsoft et infiltrent des gouvernements

Alerté par Wiz le 22 juin dernier, Microsoft a corrigé le problème d'accès 2 jours après. Le firme de Redmond précise que “les données des clients n'ont pas été exposées et aucun autre service interne n'a été mis en danger en raison de ce problème”. Elle a également étendu le service qui surveille toutes les modifications du code open source public sur GitHub pour détecter l'exposition en clair des informations d'identification et autres données confidentielles.

Source : TechCrunch