La división de Inteligencia Artificial de la multinacional originaria de Redmond filtró por accidente la información al intentar compartir en GitHub datos open source con los que entrena modelos de IA.

Nuevas brechas de datos a la vista. En esta ocasión ha sido la división de Inteligencia Artificial (IA) de Microsoft la que ha expuesto por accidente 38 terabytes de información sensible de sus empleados. El incidente ha ocurrido mientras intentaban compartir en GitHub un repositorio de datos de código abierto para entrenar modelos de IA.

Fue la compañía de ciberseguridad Wiz quien se percató de lo ocurrido comprobando que la información vulnerable era especialmente valiosa. En concreto, el citado repositorio de datos compartidos de forma pública incluía una url mal configurada, por lo que daba acceso a todo el que quisiera comprobarlo a una gran cantidad de información alojada en la nube. Entre ella se encontraban copias de seguridad personales de trabajadores de la compañía, contraseñas a diversos servicios de la tecnológica y alrededor de 30.000 mensajes internos.

Microsoft ya ha asumido públicamente a través de una publicación en su blog corporativo que la url tenía un token de firma de acceso compartido (SAS) que lejos de restringir el paso a los recursos de almacenamiento, permitía ver la información almacenada en Azure. De hecho, los investigadores de Wiz también apuntaron que la url llevaba desde 2020 exponiendo la información, y que estaba configurada para otorgar el control completo, pudiendo cualquiera realizar cambios o inyectar malware.

La compañía sale del paso

Mediante un comunicado la compañía sale del paso asegurando que “no se han expuesto datos de los clientes y no se ha puesto en riesgo ningún otro servicio interno. No se requieren acciones por parte de nuestros clientes para atender este problema”. De ahora en adelante, apuntaban, “compartiremos la experiencia y lo aprendido para que nuestros clientes estén informados y puedan evitar incurrir en incidentes como este en un futuro”.

La información se da a conocer semanas después de que la propia organización compartiese sus hallazgos sobre ciberdelincuentes de origen chino. Y es que los criminales lograron acceder a Microsoft gracias a que uno de sus sistemas cayó en 2021 y durante el proceso de restauración una captura filtró accidentalmente una clave. Dicha clave les permitió acceder a cuentas de correo, incluyendo cuentas de agencias federales norteamericanas.

-Foundry