Η Microsoft παραδέχεται αποτυχίες ασφαλείας

Ο πρόεδρος της Microsoft, Brad Smith, είχε παραδεχτεί τις αδυναμίες ασφαλείας της εταιρείας που επέτρεψαν σε χάκερ του κινεζικού κράτους να αποκτήσουν πρόσβαση στα μηνύματα ηλεκτρονικού ταχυδρομείου αξιωματούχων της αμερικανικής κυβέρνησης το καλοκαίρι του 2023. Σε κατάθεσή του στο Κογκρέσο σε μέλη της Επιτροπής Εσωτερικής Ασφάλειας της Βουλής των Αντιπροσώπων των ΗΠΑ στις 13 Ιουνίου 2024, ο Smith δήλωσε ότι η Microsoft αποδέχεται την ευθύνη για όλα τα ζητήματα που αναφέρονται σε έκθεση της Επιτροπής Ελέγχου Ασφάλειας στον Κυβερνοχώρο χωρίς αμφιβολίες ή δισταγμούς.

Η έκθεση του CSRB, που δημοσιεύθηκε τον Απρίλιο του 2024, κατηγόρησε τη Microsoft για μια σειρά από αποτυχίες ασφαλείας που επέτρεψε στον κινεζικό φορέα απειλών Storm-0558 να αποκτήσει πρόσβαση στους λογαριασμούς ηλεκτρονικού ταχυδρομείου 25 οργανισμών, συμπεριλαμβανομένων κυβερνητικών αξιωματούχων των ΗΠΑ.

Για να εξαπολύσει την επίθεση κατασκοπείας, η Storm-0558 πλαστογράφησε tokens ελέγχου ταυτότητας χρησιμοποιώντας ένα κεκτημένο κλειδί κρυπτογράφησης της Microsoft, το οποίο, σε συνδυασμό με ένα άλλο ελάττωμα στο σύστημα ελέγχου ταυτότητας της Microsoft, τους επέτρεψε να αποκτήσουν πλήρη πρόσβαση ουσιαστικά σε οποιονδήποτε λογαριασμό Exchange Online οπουδήποτε στον κόσμο.

Η έρευνα του CSRB διαπίστωσε ανεπαρκή κουλτούρα ασφάλειας στη Microsoft και εντόπισε επίσης κενά στη διαδικασία αξιολόγησης και αποκατάστασης συμβιβασμών ασφαλείας των συγχωνεύσεων και εξαγορών της εταιρείας, μεταξύ άλλων σφαλμάτων που επέτρεψαν στους επιτιθέμενους να επιτύχουν.

Στην έκθεση διατυπώθηκαν επίσης 25 συστάσεις για την ασφάλεια στον κυβερνοχώρο προς τη Microsoft και όλους τους άλλους παρόχους υπηρεσιών cloud, προκειμένου να αποτραπεί η επανάληψη αυτού του είδους εισβολής.

Στην εναρκτήρια δήλωσή του στην επιτροπή του Κογκρέσου, ο Smith αναγνώρισε τον μοναδικό και κρίσιμο ρόλο της Microsoft στον τομέα της κυβερνοασφάλειας, όχι μόνο για τους πελάτες της, αλλά και για τις ΗΠΑ και τα συμμαχικά έθνη. «Ο ρόλος αυτός αντικατοπτρίζει το ευρύ φάσμα προϊόντων και υπηρεσιών που παρέχει η Microsoft σε ιδιώτες και οργανισμούς, συμπεριλαμβανομένων των υπηρεσιών cloud που λειτουργούν μέσω κέντρων δεδομένων που βρίσκονται σε 32 χώρες σε όλο τον κόσμο. Αντανακλά επίσης το ευρύ έργο κυβερνοασφάλειας που αναλαμβάνουμε καθημερινά, μεταξύ άλλων για τις ΗΠΑ και πολλές συμμαχικές κυβερνήσεις και σε στενή συνεργασία με αυτές», δήλωσε ο Smith.

Σημείωσε ότι η επέκταση και η εντατικοποίηση των γεωπολιτικών συγκρούσεων, όπως ο πόλεμος Ρωσίας – Ουκρανίας, έχει δημιουργήσει έναν πιο επικίνδυνο κυβερνοκόσμο. Συγκεκριμένα, υπήρξαν πιο παραγωγικές, καλά εξοπλισμένες και εξελιγμένες κυβερνοεπιθέσεις από τη Ρωσία, την Κίνα, το Ιράν και τη Βόρεια Κορέα στους 28 μήνες από την έναρξη του πολέμου.

Είπε επίσης ότι η Microsoft ζητά συγγνώμη και εξέφρασε τη βαθύτατη λύπη της σε όσους επηρεάστηκαν από την επίθεση Storm-0558, συμπεριλαμβανομένων των κυβερνητικών αξιωματούχων. Σύμφωνα με τον Smith, η Microsoft θα χρησιμοποιήσει την έκθεση του CSRB ως ευκαιρία και θεμέλιο για να ενισχύσει την προστασία της στον κυβερνοχώρο σε όλους τους τομείς.

ΤΕΥΧΟΣ 535