Les chercheurs en IA de Microsoft ont commis une énorme erreur.
Selon un nouveau rapport de la société de sécurité cloud Wiz, l’équipe de recherche de Microsoft AI a accidentellement divulgué 38 To de données privées de l’entreprise.
38 téraoctets. C’est beaucoup de données.
Les données exposées comprenaient des sauvegardes complètes des ordinateurs de deux employés. Ces sauvegardes contenaient des données personnelles sensibles, notamment des mots de passe d’accès aux services Microsoft, des clés secrètes et plus de 30 000 messages internes Microsoft Teams provenant de plus de 350 employés de Microsoft.
Alors, comment est-ce arrivé? Le rapport explique que l’équipe IA de Microsoft a téléchargé un ensemble de données de formation contenant du code open source et des modèles d’IA pour la reconnaissance d’images. Les utilisateurs qui sont tombés sur le référentiel Github ont reçu un lien d’Azure, le service de stockage cloud de Microsoft, afin de télécharger les modèles.
Un problème : le lien fourni par l’équipe IA de Microsoft donnait aux visiteurs un accès complet à l’intégralité du compte de stockage Azure. Et non seulement les visiteurs pouvaient voir tout ce qui se trouvait dans le compte, mais ils pouvaient également télécharger, écraser ou supprimer des fichiers.
Wiz indique que cela s’est produit à la suite d’une fonctionnalité Azure appelée jetons de signature d’accès partagé (SAS), qui est « une URL signée qui accorde l’accès aux données de stockage Azure ». Le jeton SAS aurait pu être configuré avec des limitations quant au(x) fichier(s) accessible(s). Cependant, ce lien particulier a été configuré avec un accès complet.
Aux problèmes potentiels s’ajoute, selon Wiz, le fait qu’il semble que ces données soient exposées depuis 2020.
Wiz a contacté Microsoft plus tôt cette année, le 22 juin, pour les avertir de leur découverte. Deux jours plus tard, Microsoft a invalidé le jeton SAS, résolvant ainsi le problème. Microsoft a mené et achevé une enquête sur les impacts potentiels en août.
Microsoft a fourni à TechCrunch un déclarationaffirmant qu ‘”aucune donnée client n’a été exposée et qu’aucun autre service interne n’a été mis en danger à cause de ce problème”.
