Seguridad | Exposición

Microsoft AI expone accidentalmente 38TB de datos sensibles en GitHub

Microsoft AI, la división de inteligencia artificial de Microsoft, ha dejado expuestos accidentalmente decenas de terabytes de datos sensibles. Este incidente se produjo durante la publicación de un conjunto de datos de formación de código abierto en la popular plataforma de desarrollo GitHub.

Descubrimiento del fallo de seguridad

La startup de seguridad en la nube, Wiz, reveló que había descubierto un repositorio de GitHub perteneciente a la división de investigación de IA de Microsoft. Esta revelación fue parte de su trabajo continuo sobre la exposición accidental de datos alojados en la nube.

Los lectores del repositorio de GitHub, que proporcionaba código de fuente abierta y modelos de IA para el reconocimiento de imágenes, recibieron instrucciones para descargar los modelos desde una URL de Azure Storage. Sin embargo, Wiz descubrió que esta URL estaba configurada para otorgar permisos sobre toda la cuenta de almacenamiento, exponiendo por error datos privados adicionales.

Detalles de la exposición de datos

Los datos expuestos incluían 38 terabytes de información sensible, incluyendo las copias de seguridad personales de dos ordenadores de empleados de Microsoft. Además, los datos contenían otra información personal sensible, incluyendo contraseñas para servicios de Microsoft, claves secretas y más de 30.000 mensajes internos de Microsoft Teams de cientos de empleados de Microsoft.

La URL, que había estado exponiendo estos datos desde 2020, también estaba mal configurada para permitir "control total" en lugar de permisos de "solo lectura", según Wiz. Esto significaba que cualquiera que supiera dónde buscar podría potencialmente borrar, reemplazar e inyectar contenido malicioso en ellos.

La respuesta de Microsoft

Wiz compartió sus hallazgos con Microsoft el 22 de junio, y Microsoft revocó el token SAS dos días después, el 24 de junio. Microsoft afirmó que había completado su investigación sobre el impacto organizacional potencial el 16 de agosto.

En un post de blog, el Centro de Respuesta de Seguridad de Microsoft afirmó que "ningún dato de cliente fue expuesto, y ningún otro servicio interno corrió riesgo debido a este problema".

Microsoft también ha señalado que, como resultado de la investigación de Wiz, ha ampliado el servicio de supervisión de secretos de GitHub. Este servicio supervisa todos los cambios de código de fuente abierta pública en busca de exposiciones en texto plano de credenciales y otros secretos, para incluir cualquier token SAS que pueda tener expiraciones o privilegios excesivamente permisivos.


Crear Canciones Personalizadas
Publicidad


Otras noticias • Seguridad

Cibercrimen cesa

Hunters International cierra y ofrece claves de desencriptación gratuitas

Hunters International, una banda de ransomware, ha cerrado operaciones y ofrece claves de desencriptación gratuitas a sus víctimas. Este cierre podría reflejar presiones legales y...

Amenaza cibernética

Infiltración de hackers norcoreanos causa pérdidas en empresas estadounidenses

El esquema fraudulento liderado por Zhenxing “Danny” Wang permitió la infiltración de trabajadores informáticos norcoreanos en empresas estadounidenses, causando pérdidas significativas. Este caso resalta la...

Ciberespionaje organizado

Cartel de Sinaloa usó hacker para espiar embajada estadounidense

Un informe del Inspector General de EE.UU. revela que el cartel de Sinaloa utilizó un hacker en 2018 para espiar la embajada estadounidense en México,...

Cibercrimen cooperativo

Detienen a cinco hackers en Europa por cibercrimen internacional

La detención de cinco hackers en Europa, liderados por Kai West, resalta la cooperación internacional contra el cibercrimen. Su foro, BreachForums, facilitaba la venta de...

Seguridad y privacidad

Ring presenta IA para mejorar seguridad y privacidad en hogares

Ring ha lanzado una función de inteligencia artificial que proporciona descripciones detalladas de actividades detectadas en el hogar, mejorando la claridad de las notificaciones. Aunque...

Ciberataque preocupante

Aflac sufre ciberataque que expone datos de clientes

Aflac ha sufrido un ciberataque que expuso datos personales de clientes, generando preocupación en la industria de seguros. La creciente frecuencia de estos ataques resalta...

Apagón digital

Apagón de internet en Irán: millones aislados y desinformados

El apagón de internet en Irán ha dejado a millones en la oscuridad digital, dificultando la comunicación y el acceso a información vital. Justificado por...

Censura digital

Desconexión de Internet en Irán genera crisis y preocupación global

La desconexión casi total de Internet en Irán, en medio de un conflicto con Israel, ha generado preocupación internacional. La conectividad ha caído un 97%,...