Microsoft admitió hoy un incidente de seguridad que expuso casi 250 millones de registros de «Servicio y soporte al cliente» (CSS) en Internet debido a un servidor mal configurado que contiene registros de conversaciones entre su equipo de soporte y los clientes.
Según Bob Diachenko, un investigador de seguridad cibernética que detectó la base de datos desprotegida e informó a Microsoft, los registros contenían registros que abarcaban desde 2005 hasta diciembre de 2019.
En una publicación de blog, Microsoft confirmó que debido a las reglas de seguridad mal configuradas agregadas al servidor en cuestión el 5 de diciembre de 2019, permitió la exposición de los datos, que se mantuvo igual hasta que los ingenieros remediaron la configuración el 31 de diciembre de 2019.
Microsoft también dijo que la base de datos fue redactada utilizando herramientas automatizadas para eliminar la información de identificación personal de la mayoría de los clientes, excepto en algunos escenarios donde la información no era el formato estándar.
«Nuestra investigación confirmó que la gran mayoría de los registros se borraron de información personal de acuerdo con nuestras prácticas estándar», dijo Microsoft.
Sin embargo, según Diachenko, muchos registros en la base de datos filtrada contenían datos legibles sobre los clientes, incluidos sus:
- correos electrónicos,
- Direcciones IP,
- Ubicaciones,
- Descripciones de reclamos y casos de CSS,
- Correos electrónicos del agente de soporte de Microsoft,
- Números de casos, resoluciones y comentarios,
- Notas internas marcadas como «confidenciales».
«Este problema era específico de una base de datos interna utilizada para el análisis de casos de soporte y no representa una exposición de nuestros servicios comerciales en la nube», dijo Microsoft.
Al tener a mano la información sensible del caso y las direcciones de correo electrónico de los clientes afectados, los estafadores de soporte técnico podrían abusar de los datos filtrados para engañar a los usuarios para que paguen por problemas informáticos inexistentes haciéndose pasar por representantes de soporte de Microsoft.
Como resultado de este incidente, la compañía dijo que comenzó a notificar a los clientes afectados cuyos datos estaban presentes en la base de datos expuesta de Servicio y Atención al Cliente.
Fuente: thehackernews.com
