Os 6 maiores hacks da Microsoft: é necessária melhor segurança?

A Microsoft sem dúvida se tornou um nome familiar desde a sua fundação, mas sua história não é totalmente limpa. Ao longo dos anos, a Microsoft sofreu uma longa lista de incidentes de segurança, muitos dos quais colocaram os dados dos utilizadores em perigo. Então, quais são os maiores hacks da Microsoft no século 21? E esse gigante da tecnologia precisa de melhor segurança?

1. A violação do servidor Exchange de 2021

No início de 2021, em 3 de janeiro, os servidores da plataforma Exchange da Microsoft começaram a ser comprometidos por quatro vulnerabilidades de software de dia zero.

Só em Março do mesmo ano é que o alcance do ataque se tornou evidente, com mais de 30.000 organizações sediadas nos EUA a serem atacadas através destas falhas de software no código do Microsoft Exchange. Ao todo, mais de 250.000 servidores Exchange individuais foram hackeados, sendo 7.000 deles baseados no Reino Unido. Outros países, incluindo a Noruega e o Chile, também foram afetados.

Os dados roubados neste ataque incluíam endereços de e-mail e senhas de usuários do servidor. Além disso, os invasores poderiam adicionar mais backdoors para futuras explorações.

Não demorou muito para que a Microsoft lançasse os patches necessários, mas este ataque destacou a facilidade com que as vulnerabilidades podem levar a enormes campanhas de hackers.

2. O vazamento de 250 milhões de registros de clientes

No início de 2020, foi descoberto que a Microsoft havia vazado acidentalmente mais de 250 milhões de registros de clientes. Essa enorme exposição veio como resultado de um banco de dados que não era protegido por senha.

Grande parte dos dados expostos consistiram em conversas entre usuários e representantes de suporte ao cliente, que ocorreram entre 2005 e 2019. No entanto, informações mais confidenciais foram divulgadas em certos casos, incluindo endereços IP e de e-mail de clientes.

A Microsoft demorou apenas 24 horas para proteger o banco de dados, mas já era tarde demais.

3. O vazamento de credenciais do Hotmail de 2016

Em maio de 2016, vários meios de comunicação começaram a relatar um enorme hack que resultou no vazamento de credenciais de usuários do Google, Yahoo e Microsoft. Mais de 270 milhões de credenciais de contas foram roubadas e colocadas à venda em mercados russos ilícitos. 33 milhões delas eram credenciais do Hotmail, um serviço de e-mail comprado pela Microsoft em 1997.

Felizmente, o hacker que inicialmente possuía as credenciais as vendeu para uma empresa de segurança disfarçada, em vez de outro indivíduo mal-intencionado que tentava explorá-las.

4. A violação de dados do Lapsu$ de 2022

Em março de 2022, a Microsoft confirmou que havia sido atacada por um conhecido grupo de hackers chamado "Lapsu$". Este sindicato internacional de hackers ganhou fama ao atingir muitos grandes nomes, incluindo Nvidia e Samsung.

Embora o Lapsu$ tenha como alvo organizações na América do Sul e no Reino Unido, desde então eles se voltaram para vítimas adicionais, incluindo aquelas dentro dos EUA. Este descarado grupo de hackers voltou seu foco para a Microsoft no início de 2022.

Neste caso, Lapsu$ (conhecido oficialmente pela Microsoft como “DEV-0537”) conseguiu comprometer uma única conta de funcionário da Microsoft e acessar partes do código-fonte do Bing, Bing Maps e Cortana.

A confirmação da Microsoft veio depois que o Lapsu$ publicou esse código-fonte roubado em um arquivo torrent. No entanto, a Microsoft alegou em um postagem no blog em relação ao incidente de que o roubo e vazamento do código-fonte não representa um risco de segurança para a empresa ou seus usuários.

5. A violação do dia zero de 2010

No final de 2009, a Microsoft tomou conhecimento de um problema crítico vulnerabilidade de segurança de dia zero. A empresa não tomou nenhuma medida até o ano seguinte, quando empresas como Google e Adobe começaram a ser alvo de cibercriminosos por meio da vulnerabilidade.

Essa falha permitiu que atores mal-intencionados implantassem malware nos dispositivos dos funcionários das empresas-alvo. O software malicioso seria então aproveitado para acessar informações privadas do Google e do Gmail.

Essa violação fez com que a Microsoft parecesse particularmente ruim devido à forma como a empresa lidou com a emissão de uma solução. Só em janeiro de 2010, três meses depois de saber da vulnerabilidade, é que a Microsoft lançou um patch. O pior é que a Microsoft planejou inicialmente lançar o patch um mês depois, em fevereiro.

6. O ataque Storm0558 de 2023

Em 2023, cerca de 25 organizações, incluindo agências governamentais, foram atacadas através de duas vulnerabilidades de segurança da Microsoft. O ator malicioso, baseado na China e conhecido como Storm0558, conseguiu roubar dados de clientes que usam o Outlook Web Access e o Exchange Online.

Microsoft declarou que se acreditava que o autor da ameaça tinha objetivos de espionagem. A empresa confirmou ainda que o invasor adquiriu uma chave de assinatura do consumidor MSA para conduzir o ataque.

De acordo com um Investigação Wiz, não foram apenas o Outlook Web Access e o Exchange Online que foram afetados pelo hack. Wiz relatou que outros serviços da Microsoft, incluindo Teams, OneDrive e SharePoint, também poderiam ser explorados usando a chave MSA comprometida.

A Microsoft precisa de melhor segurança?

A Microsoft não é de forma alguma negligente em termos de segurança. A empresa garante que seus produtos tenham um sólido nível de proteção ao usuário, incluindo autenticação de dois fatores, criptografia, filtros anti-spam, firewalls e alertas de login.

Obviamente, a presença desses recursos dependerá do produto Microsoft que você está usando. Por exemplo, os sistemas operacionais Windows vêm com software antivírus padrão, mas o Outlook não.

A maioria dos ataques listados acima resultou de uma vulnerabilidade de software, então parece que mais auditorias de código podem ser a resposta para a Microsoft. A empresa já passa por auditorias, seja de software ou de práticas comerciais, mas parece que um grande volume de vulnerabilidades ainda está escapando.

Lançar patches de segurança assim que as vulnerabilidades forem identificadas também pode ser sensato, mesmo que a vulnerabilidade ainda não tenha sido abusada. Isso elimina a chance de a Microsoft ou seus usuários serem vítimas de ataques causados ​​por explorações de software.

No entanto, essas práticas exigiriam muito pessoal e recursos, já que a Microsoft possui hoje quase 400 produtos de software.

A Microsoft nunca será imune a hackers

Mesmo que a Microsoft conseguisse de alguma forma aumentar a sua segurança duas vezes, ainda não estaria 100% imune a ataques cibernéticos. Infelizmente, nenhum programa de software, dispositivo ou componente está totalmente protegido contra exploração de alguma forma, seja por meio de vulnerabilidades, malware ou outros meios.