Se acaba de revelar que los investigadores de Microsoft filtraron accidentalmente 38TB de información confidencial en la página GitHub de la compañía, donde potencialmente cualquiera podría verla. Entre el tesoro de datos había una copia de seguridad de las estaciones de trabajo de dos ex empleados, que contenían claves, contraseñas, secretos y más de 30,000 mensajes privados de Teams.
Según la firma de seguridad en la nube Wiz, la filtración se publicó en el repositorio GitHub de inteligencia artificial (IA) de Microsoft y se incluyó accidentalmente en un tramo de datos de entrenamiento de código abierto. Eso significa que se alentó a los visitantes a descargarlo, lo que significa que podría haber caído en las manos equivocadas una y otra vez.
Las violaciones de datos pueden provenir de todo tipo de fuentes, pero será particularmente vergonzoso para Microsoft que esta se haya originado con sus propios investigadores de IA. El informe de Wiz indica que Microsoft cargó los datos utilizando tokens de firma de acceso compartido (SAS), una característica de Azure, que permite a los usuarios compartir datos a través de cuentas de Azure Storage.
A los visitantes del repositorio se les pidió que descargaran los datos de entrenamiento de una URL proporcionada. Sin embargo, la dirección web otorgaba acceso a mucho más que solo los datos de entrenamiento planificados, y permitía a los usuarios navegar por archivos y carpetas que no estaban destinados a ser de acceso público.
Control total
Se pone peor. El token de acceso que permitió todo esto estaba mal configurado para proporcionar permisos de control total, informó Wiz, en lugar de permisos de solo lectura más restrictivos. En la práctica, eso significaba que cualquiera que visitara la URL podía eliminar y sobrescribir los archivos que encontraba, no simplemente verlos.
Wiz explica que esto podría haber tenido consecuencias nefastas. Como el repositorio estaba lleno de datos de entrenamiento de IA, la intención era que los usuarios los descargaran y los introdujeran en un script, mejorando así sus propios modelos de IA.
Sin embargo, debido a que estaba abierto a la manipulación gracias a sus permisos mal configurados, «un atacante podría haber inyectado código malicioso en todos los modelos de IA en esta cuenta de almacenamiento, y todos los usuarios que confían en el repositorio GitHub de Microsoft habrían sido infectados por él», explica Wiz.
Desastre potencial
El informe también señaló que la creación de tokens SAS, que otorgan acceso a carpetas de Azure Storage como esta, no crea ningún tipo de rastro de papel, lo que significa que «no hay forma de que un administrador sepa que este token existe y dónde circula». Cuando un token tiene permisos de acceso completo como este, los resultados pueden ser potencialmente desastrosos.
Afortunadamente, Wiz explica que informó el problema a Microsoft en junio de 2023. El token SAS con fugas fue reemplazado en julio, y Microsoft completó su investigación interna en agosto. El lapso de seguridad acaba de ser reportado al público para dar tiempo a solucionarlo por completo.
Es un recordatorio de que incluso las acciones aparentemente inocentes pueden conducir a violaciones de datos. Afortunadamente, el problema ha sido parcheado, pero se desconoce si los piratas informáticos obtuvieron acceso a alguno de los datos confidenciales del usuario antes de que se eliminaran.
