Des informations sensibles pour certains clients Microsoft ont été exposées par un serveur mal configuré, Microsoft Security Response Center a déclaré mercredi. Le point de terminaison mal configuré était accessible sur Internet et ne nécessitait pas d'authentification.
Les informations exposées comprenaient les noms, les adresses e-mail, le contenu des e-mails, le nom de l'entreprise, les numéros de téléphone et les fichiers "relatifs aux affaires entre un client et Microsoft ou un partenaire Microsoft autorisé", a déclaré la société. Le point de terminaison a déjà été sécurisé pour exiger une authentification et les clients concernés ont été informés.
"Cette mauvaise configuration a entraîné la possibilité d'un accès non authentifié à certaines données de transactions commerciales correspondant à des interactions entre Microsoft et des clients potentiels, telles que la planification ou la mise en œuvre et la fourniture potentielles de services Microsoft", a déclaré Microsoft, notant qu'il n'y a aucune indication que les comptes clients ou les systèmes avaient été compromis.
Microsoft a appris la mauvaise configuration le 24 septembre par une équipe de recherche de SOCRadar.
Les chercheurs de SOCRadar revendiqué dans leur propre article de blog avoir trouvé 2.4 To d'e-mails et de fichiers de projet contenant des documents d'énoncé de travail, des commandes de produits, des détails de projet, des informations personnellement identifiables, des factures, des listes de prix et des « documents pouvant révéler la propriété intellectuelle ». Les chercheurs ont affirmé que les informations exposées pourraient être liées à plus de 65,000 111 entités de XNUMX pays.
Microsoft a déclaré que SOCRadar "a considérablement exagéré la portée de ce problème" et n'a pas pris en compte les enregistrements en double dans son estimation des entités concernées. Microsoft a également déclaré que la décision de SOCRadar de publier un outil de recherche pour parcourir les fichiers "n'est pas dans le meilleur intérêt d'assurer la confidentialité ou la sécurité des clients et de les exposer potentiellement à des risques inutiles".
