Były pracownik Microsoftu twierdzi, że gigant technologiczny odrzucił jego wielokrotne ostrzeżenia o luce w zabezpieczeniach, która została później wykorzystana podczas włamania do SolarWinds, przedkładając interesy biznesowe nad bezpieczeństwo klientów. Andrew Harris, który pracował w zespole bezpieczeństwa chmury Microsoftu, twierdzi, że odkrył słabość w 2016 roku, ale powiedziano mu, że naprawienie jej może zagrozić wielomiliardowemu kontraktowi rządowemu i przewadze konkurencyjnej firmy, podała w czwartek ProPublica.
Luka w produkcie Microsoft o nazwie Active Directory Federation Services pozwalała hakerom na ominięcie zabezpieczeń i uzyskanie dostępu do wrażliwych danych w chmurze. Rosyjscy hakerzy wykorzystali tę lukę w ataku SolarWinds w 2020 roku, włamując się do kilku amerykańskich agencji. Microsoft nadal zaprzecza niewłaściwym działaniom, podkreślając, że ochrona klientów jest jego najwyższym priorytetem. Rewelacje te pojawiają się w czasie, gdy Microsoft stoi w obliczu rosnącej kontroli nad swoimi praktykami bezpieczeństwa i stara się rozszerzyć swoją działalność rządową.
ELI5: Były pracownik Microsoftu mówi, że firma zignorowała jego ostrzeżenia o błędzie w zabezpieczeniach, który potem pomógł włamać się do SolarWinds. Twierdzi, że Microsoft bardziej dbał o pieniądze niż o klientów. Błąd w usłudze Microsoftu pozwolił hakerom na dostęp do ważnych danych. Microsoft zaprzecza i mówi, że zawsze troszczy się o bezpieczeństwo klientów. Dochodzi do tego w czasie, gdy Microsoft jest krytykowany za swoje praktyki bezpieczeństwa i chce rozszerzyć współpracę z rządem.
Źródła:
- https://www.propublica.org/article/microsoft-solarwinds-golden-saml-data-breach-russian-hackers
- https://it.slashdot.org/story/20/12/15/1810225/solarwinds-says-18000-customers-were-impacted-by-recent-hack
- https://yro.slashdot.org/story/24/04/22/0337218/ex-white-house-cyber-policy-director-microsoft-is-a-national-security-risk