Nhân viên Microsoft vô tình làm rò rỉ 38 TB dữ liệu
Nhà cung cấp bảo mật đám mây Wiz đã phát hiện ra vấn đề này khi quét Internet để tìm các tài khoản lưu trữ nội bộ bị lộ. Công ty đã tìm thấy một kho lưu trữ phần mềm trên GitHub do Microsoft sở hữu, chuyên cung cấp mã nguồn mở và các mô hình AI để nhận dạng hình ảnh.
Cảnh giác chiêu lừa hỗ trợ làm CCCD gắn chip lấy liền
Trên trang GitHub bị ảnh hưởng, một nhân viên của Microsoft đã tạo một URL, cho phép khách truy cập vào kho phần mềm tải xuống các mô hình AI từ bộ lưu trữ Azure.
Wiz cho biết trong báo cáo: “Tuy nhiên, URL này cho phép truy cập vào nhiều thứ hơn, nó được định cấu hình để cấp quyền trên toàn bộ tài khoản lưu trữ, vô tình làm lộ thêm dữ liệu riêng tư.”
Kết quả kiểm tra của Wiz còn cho thấy bộ lưu trữ Azure còn chứa 38 TB dữ liệu, bao gồm “mật khẩu các dịch vụ của Microsoft, khóa bí mật và hơn 30.000 tin nhắn Microsoft Teams nội bộ từ 359 nhân viên Microsoft”.
Kẻ tấn công có thể đã tiêm mã độc vào tất cả các mô hình AI trong tài khoản lưu trữ này, và mọi người dùng tin tưởng vào kho lưu trữ GitHub của Microsoft đều sẽ bị lây nhiễm, Wiz chia sẻ.
Lỗ hổng đã được Microsoft khắc phục
Công ty đã báo cáo vấn đề với Microsoft vào tháng 6 và lỗ hổng đã nhanh chóng được khắc phục. Microsoft nói rằng không có dữ liệu khách hàng nào bị lộ và không có dịch vụ nội bộ nào khác gặp rủi ro vì vấn đề này.
Công ty cũng cho biết kho lưu trữ bị lộ chứa các bản sao lưu và tin nhắn Microsoft Teams nội bộ của hai cựu nhân viên Microsoft. Để ngăn chặn bất kỳ sự cố rò rỉ nào khác, Microsoft đã quét các mã thông báo SAS “có thể có thời hạn hoặc đặc quyền quá mức cho phép” trên GitHub.
Sự cố này là một lời nhắc nhở về việc định cấu hình quyền truy cập vào các tài khoản lưu trữ đám mây, đặc biệt là những tệp dữ liệu lớn. Wiz cho biết thêm: “Khi các nhà khoa học và kỹ sư dữ liệu chạy đua để đưa các giải pháp AI mới vào sản xuất, lượng dữ liệu khổng lồ mà họ xử lý đòi hỏi phải có các biện pháp bảo vệ và kiểm tra bảo mật bổ sung”.
