A Microsoft sempre tentou ao máximo garantir a segurança dos seus produtos e também os dados dos seus clientes. Nem sempre o consegue, mas aposta nesta área para que a proteção exista e que seja real.
Curiosamente, e sem uma causa ou razão, a própria Microsoft acabou por ser comprometida. Um hacker garante que conseguiu roubar 500 GB de dados da empresa, diretamente da sua conta privada do GitHub.
Conta da Microsoft no GitHub comprometida
Chama-se Shiny Hunters e é o hacker que está a garantir ao mundo que conseguiu comprometer a conta do repositório privado da Microsoft no GitHub. Ao conseguir esse acesso, este hacker acabou por ter acesso a informação sensível e privada.
Como resultado deste ataque, o hacker conseguiu ter acesso a todas as funcionalidades desta plataforma, sempre associada à conta da Microsoft. Conseguia tornar públicos os repositório e retirar dados. Este último passo rendeu-lhe 500 GB de informação e código.
Hacker diz que tem 500 GB de dados
Apesar da desconfiança do que estava a ser revelado, tudo aponta para que esta quebra seja real. O hacker libertou 1 GB dos dados que recolheu no GitHub, para que fossem avaliados por especialistas de segurança.
Inicialmente, e com base na informação que estava disponível, pensava-se que existia código de várias apps da Microsoft. Tudo apontava que código do Azure estava ali presente, bem como informação do Office e outras APIs do próprio Windows.
After some research and because the actor dumped the entire dirlist of the private repositories, it appears this is real.
I doubt there is anything too private in these repositories but companies do sometime leave keys/passwords on Github by mistake. pic.twitter.com/4L8s18hQA0
— Under the Breach (@underthebreach) May 6, 2020
Segurança das apps pode não estar comprometida
Do que se sabe agora, a informação recolhida é real e é mesmo oriunda dos repositórios da Microsoft no GitHub. No entanto, e desta pequena parte de dados disponíveis, não existe informação sensível ou relevante. Também não existe código de produtos da empresa.
A Microsoft ainda não veio a público comentar esta situação, mas um dos seus empregados comentou algo interessante. As regras da empresa colocam estes repositórios públicos ao fim de 30 dias e por isso a informação não poderá ser certamente sensível.